Worm.Win32.AutoRun.djf（AUTORUN.INF）分析

病毒标签


病毒名称： Worm.Win32.AutoRun.djf
病毒类型： 蠕虫
文件 MD5： AECA0C98DAA541CF1E5DC1222049D931
公开范围： 完全公开
危害等级： 4
文件长度： 73,728 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： 无壳

病毒描述


该病毒为后门类，病毒图标为gif格式图片文件；病毒运行后判断当前文件是否为“虚拟艺术.exe”，若是则弹出“文件已损坏！！”错误对话框，否则弹出病毒当前目录所在的目录；衍生病毒文件到系统目录下，在各个磁盘根目录下衍生autorun.inf文件和两份病毒副本；复制%Windir%\explorer.exe到%Program Files%\Internet Explorer目录下，更改%Windir%\explorer.exe文件名为explorer.exe2843201160430.91；修改注册表，更改bmp、gif、jpe、jpeg、jpg文件的关联方式到病毒文件。
行为分析-本地行为


1、文件运行后会释放以下文件
%HomeDrive%\AUTORUN.INF
%HomeDrive%\Mourn_Operator1`1.exe
%HomeDrive%\虚拟艺术.exe
%DriveLetter%\AUTORUN.INF
%DriveLetter%\Mourn_Operator1`1.exe
%DriveLetter%\虚拟艺术.exe
%Temp%\~DFA1F3.tmp
%Windir%\explorer.exe
%Program Files%\Internet Explorer\LSASS.EXE
%Program Files%\Internet Explorer\SERVICES.EXE

2、新增注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,1"
描述：设置使用PbWzdmngmt1关联方式打开的文件的图标
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
描述：设置使用PbWzdmngmt1关联方式打开的关联文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,2"
描述：设置使用PbWzdmngmt2关联方式打开的文件的图标
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
描述：设置使用PbWzdmngmt2关联方式打开的关联文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,3"
描述：设置使用PbWzdmngmt3关联方式打开的文件的图标
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
描述：设置使用PbWzdmngmt3关联方式打开的关联文件

3、修改注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bmp\@
新: 字符串: "PbWzdmngmt1"
旧: 字符串: "Paint.Picture"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif\@
新: 字符串: "PbWzdmngmt2"
旧: 字符串: "giffile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpe\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpeg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"



清除方案

手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool管理工具，请点击下载。
(1) 使用安天防线工具中的“进程管理”关闭病毒进程
SERVICES.EXE (C:\Program Files\Internet Explorer\SERVICES.EXE)
(2) 删除病毒文件
%HomeDrive%\AUTORUN.INF
%HomeDrive%\Mourn_Operator1`1.exe
%HomeDrive%\虚拟艺术.exe
%DriveLetter%\AUTORUN.INF
%DriveLetter%\Mourn_Operator1`1.exe
%DriveLetter%\虚拟艺术.exe
%Temp%\~DFA1F3.tmp
%Windir%\explorer.exe
%Program Files%\Internet Explorer\LSASS.EXE
%Program Files%\Internet Explorer\SERVICES.EXE
%Program Files%\Internet Explorer\explorer.exe
(3) 恢复病毒更改的病毒文件
更改%Windir%目录下的explorer.exe2843201160430.91文件名为explorer.exe
(4) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
删除病毒创建的注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,2"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,3"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"

恢复病毒修改的注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bmp\@
新: 字符串: "PbWzdmngmt1"
旧: 字符串: "Paint.Picture"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif\@
新: 字符串: "PbWzdmngmt2"
旧: 字符串: "giffile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpe\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpeg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"