东方微点-yb体育官方

  yb体育官方  
yb体育官方-yb亚博全站首页  |  微点新闻  |  业界动态  |  安全资讯  |   |   |  网络版yb亚博全站首页
 |   |   |   |   |   |  各地代理商
 

蠕虫程序worm.win32.autorun.ohe
来源:  2010-01-18 17:22:58

蠕虫程序

worm.win32.autorun.ohe

捕获时间

2010-1-18

危害等级



病毒症状

 该样本是使用“borland  dephi”编写的蠕虫程序,由微点主动防御软件自动捕获,采用“new”加壳方式,企图躲避特征码扫描,加壳后长度为“15,013 字节“,图标为“
”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“移动存储介质”,然后下载木马到本地运行。

感染对象

windows 2000/windows xp/windows 2003/windows vista

传播途径

网页挂马、文件捆绑、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知网络蠕虫”,请直接选择删除处理(如图1);


图1 微点主动防御软件自动捕获未知病毒(未升级)




如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"worm.win32.autorun.ohe”,请直接选择删除(如图2)。


图2   微点主动防御软件升级后截获已知病毒




未安装微点主动防御软件的手动解决办法:

1、手动删除以下文件:

%systemroot%\tasks\csrss.exe
%systemroot%\meupdate.ini
%systemroot%\tasks\绿化.bat
%systemroot%\tasks\wsock32.dll
x:\hackhen.vbs
x:\autorun.inf  
   
2、手动删除以下注册表值:

键:hkey_local_machine\software\microsoft\activesetup\installedcomponents\{h9i12rb03-ab-b70-7-11d2-9cbd-0o00fs7ah6-9e2121bhjlk
值:stubpath
数据:x:\hackhen.vbs

变量声明:

  %systemdriver%        系统所在分区,通常为“c:\”
  %systemroot%        windodws所在目录,通常为“c:\windows”
  %documents and settings%   用户文档目录,通常为“c:\documents and settings”
  %temp%          临时文件夹,通常为“c:\documents and settings\当前用户名称\local settings\temp”
  %programfiles%       系统程序默认安装目录,通常为:“c:\programfiles”

病毒分析

1.病毒运行后,创建互斥体,防止程序二次运行。
2.查找active setup的安装路径,删除注册表项。
3.创建进程快照,查找360tray.exe、ast.exe、fwmon.exe等进程,如发现则结束进程。
4.创建线程,释放文件%systemroot%\tasks\csrss.exe,创建%systemroot%\mfxixue.bat,删除病毒文件和批处理文件,启动csrss.exe。
5.查找包含360tray,nod32,瑞星,木马,杀马,绿鹰,mcafee,firewal,virus,antiworm的窗口,发消息关闭,然后弹出窗口内容为“安全提示:您正在使用的**是盗版软件,可能您是盗版软件的受害者,为了给合法用户提供保证,我们无法继续给您提供服务,请到指定销售商购买我们的正版软件,如果有任何疑问,请到我们微软yb体育官方主页查看http://www.microsoft.com”,来迷惑用户。
6.查找窗口类名称为 "afxcontrolbar42s"(icesword),发送消息关闭窗口。
7.遍历所有html,htm,asp,aspx,php,jsp文件,嵌入脚本,增加连接http://jxfhack.cn///pcgames/wowchina.js。
8.遍历磁盘检查是否有autorun.inf文件,如果有将其随机改名,之后向里面写入autorun.inf 和hackhen.vbs。
9.病毒自身到拷贝自身%systemroot%\tasks\绿化.bat。
10.连接网络,下载大量未知程序到本地执行。
11.病毒自我更新:释放%systemroot%\meupdate.ini,与http://jxfhack.cn//updatexixue.tx比较,如果不同,则下载病毒新版本到本地
执行。
12.修改%systemroot%\drivers\etc\hosts文件,屏蔽大量安全网站。
13.释放文件病毒wsock32.dll,复制到每个文件夹下,当文件夹下的exe文件的导入表含有wsock32.dll的时候,会首先调用同文件夹下的wsock32.dll。

病毒创建文件

%systemroot%\tasks\csrss.exe
%systemroot%\mfxixue.bat
%systemroot%\tasks\绿化.bat
%systemroot%\meupdate.ini
%systemroot%\tasks\wsock32.dll
x:\hackhen.vbs
x:\autorun.inf  
x:为移动介质盘符

病毒创建注册表:

hkey_current_user\software\microsoft\active setup\installed components\{h9i12rb03-ab-b70-7-11d2-9cbd-0o00fs7ah6-9e2121bhjlk}

病毒删除文件

%systemroot%\mfxixue.bat

病毒修改文件

%systemroot%\system32\drivers\etc\hosts

病毒删除注册表

hkey_current_user\software\microsoft\active setup\installed components\{h9i12rb03-ab-b70-7-11d2-9cbd-0o00fs7ah6-9e2121bhjlk}

病毒访问网络

http://***.cn/wm/c***n.exe
http://jxfha**.cn//mm.exe
http://***ha**.cn//updatexixue.txt

免费体验
下  载

网站地图