蠕虫程序

Worm.Win32.AutoRun.a

捕获时间

2010-4-18

危害等级

中

病毒症状

     该样本是使用“VC /C”编写的蠕虫程序，由微点主动防御软件自动捕获，采用“UPX”加壳方式，加壳后长度为“30,720”字节，图标为“
”，使用“exe”扩展名，通过移动存储介质、文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是安装木马后门。
     用户中毒后会出现系统运行缓慢，杀毒软件无故关闭后无法启动，系统无故报错，出现大量未知进程，双击磁盘盘符无法打开等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传染途径

网页挂马、文件捆绑、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马“，请直接选择删除处理（如图1）；

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Worm.Win32.AutoRun.a”，请直接选择删除（如图2）。

图2   微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1.手动删除以下文件

%SystemRoot%\system32\ee5t.dll
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\scvhost.exe
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\kav32.exe
X:\AUTORUN.INF  (X为被感染盘符)

2.删除以下注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
数据：360Soft
原值：C:\WINDOWS\system32\scvhost.exe

并在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下的大量安全软件的映像劫持项。

3.用正常文件替换

%SystemRoot%\system32\drivers\gm.dls
%SystemRoot%\explorer.exe
%SystemRoot%\system32\drivers\etc\hosts

变量声明：

%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

病毒分析：
       
1.创建互斥体，防止多次运行。检查自身是否为Explorer.exe，如果是则执行explorer.exe。
2.打开服务管理器，删除ekrn相关服务，并终止进程ekrn.exe、egui.exe。
3.释放动态链接库%SystemRoot%\system32\ee5t.dll,创建进程,调用%SystemRoot%\system32\rundll32.exe加载ee5t.dll运行。
4.ee5t.dll加载运行后，提升自身权限，创建进程快照，遍历系统进程，查找大量安全相关软件进程，找到后强制关闭其进程，停止其服务。释放驱动文件aec.sys、AsyncMac.sys到系统目录%和%SystemRoot%\system32\drivers下，并加载运行。获取SSDT地址，加载aec.sys恢复SSDT，加载AsyncMac.sys关闭杀软进程,在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下建立大量杀软映像劫持，通过操作注册表，成功后删除自身。
5.创建线程,循环遍历本地磁盘，在磁盘根目录下释放AUTORUN.INF
将自身拷贝到recycle.{645FF040-5081-101B-9F08-00AA002F954E}\kav32.exe,
并创建目录recycle.{645FF040-5081-101B-9F08-00AA002F954E}\safe..//，使其无法删除。
6.释放驱动文件pcidump.sys到%SystemRoot%\system32\drivers并加载运行实现感染系统文件%SystemRoot%\system32\drivers\gm.dls
%SystemRoot%\explorer.exe以注入到系统进程中运行，成功后删除自身。关闭以下服务wscsvc、SharedAccess，释放病毒文件extext6t.exe到%SystemRoot%,并创建进程加载运行。
7.extext6t.exe加载运行后创建互斥体，创建注册表自启动项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \360Soft实现自启动。将病毒源文件拷贝到C:\WINDOWS\system32\scvhost.exe
8.查找查找windows文件保护窗口并将其设置为隐藏属性。使用户无法察觉。
9.创建线程获取用户MAC等信息向指定网址提交。
10.清除hosts文件并重建hosts文件，将其设置为只读属性。
11.等网络连接，找开网络从指定网址读取病毒下载地址，下载大量病毒木马到本地运行。
12.在病毒源文件释放_temp.bat删除病毒源文件及批处理自身，退出进程。

病毒创建文件：

%SystemRoot%\system32\ee5t.dll
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\scvhost.exe
%SystemRoot%\system32\drivers\gm.dls
%SystemRoot%\explorer.exe
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\kav32.exe
X:\AUTORUN.INF        (X为被感染盘符)

病毒修改注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
数据：360Soft
原值：C:\WINDOWS\system32\scvhost.exe

并在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
下建立大量安全软件的映像劫持。   

病毒访问网络：

http://countone.9**6.org/wocaonimade/7/count.asp
http://down2.9**6.org:83/down.txt
http://aac.88**.org/m/ox.exe