Worm.Win32.AutoRun.djf分析

一、 病毒标签：
病毒名称： Worm.Win32.AutoRun.djf
病毒类型： 蠕虫
文件 MD5： AECA0C98DAA541CF1E5DC1222049D931
公开范围： 完全公开
危害等级： 4
文件长度： 73,728 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： 无壳
二、 病毒描述：
该病毒为后门类，病毒图标为gif格式图片文件；病毒运行后判断当前文件是否为“虚拟艺术.exe”，若是则弹出“文件已损坏！！”错误对话框，否则弹出病毒当前目录所在的目录；衍生病毒文件到系统目录下，在各个磁盘根目录下衍生autorun.inf文件和两份病毒副本；复制%Windir%\explorer.exe到%Program Files%\Internet Explorer目录下，更改%Windir%\explorer.exe文件名为explorer.exe2843201160430.91；修改注册表，更改bmp、gif、jpe、jpeg、jpg文件的关联方式到病毒文件。
三、 行为分析：
本地行为:
1、文件运行后会释放以下文件
%HomeDrive%\AUTORUN.INF
%HomeDrive%\Mourn_Operator1`1.exe
%HomeDrive%\虚拟艺术.exe
%DriveLetter%\AUTORUN.INF
%DriveLetter%\Mourn_Operator1`1.exe
%DriveLetter%\虚拟艺术.exe
%Temp%\~DFA1F3.tmp
%Windir%\explorer.exe
%Program Files%\Internet Explorer\LSASS.EXE
%Program Files%\Internet Explorer\SERVICES.EXE
2、新增注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,1"
描述：设置使用PbWzdmngmt1关联方式打开的文件的图标
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
描述：设置使用PbWzdmngmt1关联方式打开的关联文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,2"
描述：设置使用PbWzdmngmt2关联方式打开的文件的图标
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
描述：设置使用PbWzdmngmt2关联方式打开的关联文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,3"
描述：设置使用PbWzdmngmt3关联方式打开的文件的图标
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
描述：设置使用PbWzdmngmt3关联方式打开的关联文件
3、修改注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bmp\@
新: 字符串: "PbWzdmngmt1"
旧: 字符串: "Paint.Picture"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif\@
新: 字符串: "PbWzdmngmt2"
旧: 字符串: "giffile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpe\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpeg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\      WINDODWS所在目录
%DriveLetter%\   逻辑驱动器根目录
%ProgramFiles%\   系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录
四、 清除方案：
1、使用安天防线2008可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天防线工具中的“进程管理”关闭病毒进程
SERVICES.EXE (C:\Program Files\Internet Explorer\SERVICES.EXE)
(2) 删除病毒文件
%HomeDrive%\AUTORUN.INF
%HomeDrive%\Mourn_Operator1`1.exe
%HomeDrive%\虚拟艺术.exe
%DriveLetter%\AUTORUN.INF
%DriveLetter%\Mourn_Operator1`1.exe
%DriveLetter%\虚拟艺术.exe
%Temp%\~DFA1F3.tmp
%Windir%\explorer.exe
%Program Files%\Internet Explorer\LSASS.EXE
%Program Files%\Internet Explorer\SERVICES.EXE
%Program Files%\Internet Explorer\explorer.exe
(3) 恢复病毒更改的病毒文件
更改%Windir%目录下的explorer.exe2843201160430.91文件名为explorer.exe
(4) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
删除病毒创建的注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt1\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,2"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt2\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\DefaultIcon]
注册表值: "@"
类型： REG_SZ
值: "shimgvw.dll,3"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PbWzdmngmt3\shell\open\command]
注册表值: "@"
类型： REG_SZ
值: "C:\Program Files\Internet Explorer\SERVICES.EXE %1"
恢复病毒修改的注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bmp\@
新: 字符串: "PbWzdmngmt1"
旧: 字符串: "Paint.Picture"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif\@
新: 字符串: "PbWzdmngmt2"
旧: 字符串: "giffile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpe\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpeg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.jpg\@
新: 字符串: "PbWzdmngmt3"
旧: 字符串: "jpegfile"