微点交流论坛 - 病毒快报 - 蠕虫程序Worm.Win32.AutoRun.a

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 病毒快报 » 蠕虫程序Worm.Win32.AutoRun.a

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#1 蠕虫程序Worm.Win32.AutoRun.a

蠕虫程序

Worm.Win32.AutoRun.a

捕获时间

2010-4-18

危害等级

中

病毒症状

该样本是使用“VC++/C”编写的蠕虫程序，由微点主动防御软件自动捕获，采用“UPX”加壳方式，加壳后长度为“30,720”字节，图标为“

”，使用“exe”扩展名，通过移动存储介质、文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是安装木马后门。
用户中毒后会出现系统运行缓慢，杀毒软件无故关闭后无法启动，系统无故报错，出现大量未知进程，双击磁盘盘符无法打开等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传染途径

网页挂马、文件捆绑、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马“，请直接选择删除处理（如图1）；

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Worm.Win32.AutoRun.a”，请直接选择删除（如图2）。

图2 微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1.手动删除以下文件

%SystemRoot%\system32\ee5t.dll
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\scvhost.exe
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\kav32.exe
X:\AUTORUN.INF (X为被感染盘符)

2.删除以下注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
数据：360Soft
原值：C:\WINDOWS\system32\scvhost.exe

并在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下的大量安全软件的映像劫持项。

3.用正常文件替换

%SystemRoot%\system32\drivers\gm.dls
%SystemRoot%\explorer.exe
%SystemRoot%\system32\drivers\etc\hosts

变量声明：

%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2010-4-18 22:43

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#2

病毒分析：

1.创建互斥体，防止多次运行。检查自身是否为Explorer.exe，如果是则执行explorer.exe。
2.打开服务管理器，删除ekrn相关服务，并终止进程ekrn.exe、egui.exe。
3.释放动态链接库%SystemRoot%\system32\ee5t.dll,创建进程,调用%SystemRoot%\system32\rundll32.exe加载ee5t.dll运行。
4.ee5t.dll加载运行后，提升自身权限，创建进程快照，遍历系统进程，查找大量安全相关软件进程，找到后强制关闭其进程，停止其服务。释放驱动文件aec.sys、AsyncMac.sys到系统目录%和%SystemRoot%\system32\drivers下，并加载运行。获取SSDT地址，加载aec.sys恢复SSDT，加载AsyncMac.sys关闭杀软进程,在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下建立大量杀软映像劫持，通过操作注册表，成功后删除自身。
5.创建线程,循环遍历本地磁盘，在磁盘根目录下释放AUTORUN.INF
将自身拷贝到recycle.{645FF040-5081-101B-9F08-00AA002F954E}\kav32.exe,
并创建目录recycle.{645FF040-5081-101B-9F08-00AA002F954E}\safe..//，使其无法删除。
6.释放驱动文件pcidump.sys到%SystemRoot%\system32\drivers并加载运行实现感染系统文件%SystemRoot%\system32\drivers\gm.dls
%SystemRoot%\explorer.exe以注入到系统进程中运行，成功后删除自身。关闭以下服务wscsvc、SharedAccess，释放病毒文件extext6t.exe到%SystemRoot%,并创建进程加载运行。
7.extext6t.exe加载运行后创建互斥体，创建注册表自启动项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \360Soft实现自启动。将病毒源文件拷贝到C:\WINDOWS\system32\scvhost.exe
8.查找查找windows文件保护窗口并将其设置为隐藏属性。使用户无法察觉。
9.创建线程获取用户MAC等信息向指定网址提交。
10.清除hosts文件并重建hosts文件，将其设置为只读属性。
11.等网络连接，找开网络从指定网址读取病毒下载地址，下载大量病毒木马到本地运行。
12.在病毒源文件释放_temp.bat删除病毒源文件及批处理自身，退出进程。

病毒创建文件：

%SystemRoot%\system32\ee5t.dll
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\scvhost.exe
%SystemRoot%\system32\drivers\gm.dls
%SystemRoot%\explorer.exe
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\kav32.exe
X:\AUTORUN.INF (X为被感染盘符)

病毒修改注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
数据：360Soft
原值：C:\WINDOWS\system32\scvhost.exe

并在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
下建立大量安全软件的映像劫持。

病毒访问网络：

http://countone.9**6.org/wocaonimade/7/count.asp
http://down2.9**6.org:83/down.txt
http://aac.88**.org/m/ox.exe

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2010-4-18 22:45

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号