h24arb 2008-7-2 15:43
转载：警惕蠕虫病毒 Worm.Win32.AutoRun.egq
[align=center][align=center][b][font=宋体][size=15pt]警惕蠕虫病毒[/size][/font][/b][b][size=15pt] Worm.Win32.AutoRun.egq[/size][/b][/align][/align][align=left][align=left]Worm.Win32.AutoRun.egq[font=宋体]该病毒属蠕虫类，病毒运行后，复制自身到各驱动器根目录和[/font]%System32%[font=宋体]下，更名为[/font]nktokedn.exe[font=宋体]，并衍生[/font]autorun,inf[font=宋体]文件，复制自身到[/font]%System32%[font=宋体]下，更名为[/font]nfpdduax.exe[font=宋体]；并在[/font]%System32%[font=宋体]下衍生病毒文件，修改注册表，添加两处启动项，针对安全软件添加大量映像劫持；修改注册表，将部分服务的启动方式设置为[/font]“[font=宋体]已禁用[/font]”[font=宋体]，使[/font]“[font=宋体]文件夹选项[/font]”[font=宋体]中[/font]“[font=宋体]隐藏受保护的操作系统文件（推荐）[/font]”[font=宋体]选项不可见，将隐藏文件的显示方式更改为[/font]“[font=宋体]不显示隐藏文件和文件夹[/font]”[font=宋体]；删除相关注册表项，使文件夹选项中[/font]“[font=宋体]显示隐藏文件和文件夹选项[/font]” [font=宋体]不可见[/font],[font=宋体]删除注册表安全模式启动下驱动加载项，使感染机器无法启动安全模式[/font];[font=宋体]连接网络下载病毒文件并运行，[/font]
[font=宋体]病毒运行完毕后，删除自身。[/font][/align][/align][align=left][align=left][b][font=宋体]清除方案：[/font][/b][b][/b][/align][/align][align=left][align=left][b]1.
[/b][b][font=宋体]使用安天防线[/font][/b][b]2008[/b][b][font=宋体]可彻底清除此病毒[/font][/b][b]([/b][b][font=宋体]推荐[/font][/b][b])[/b][b][font=宋体]。[/font][/b][b][/b][/align][/align][align=left][align=left]2.
[font=宋体]手工清除请按照行为分析删除对应文件，恢复相关系统设置。[/font][/align][/align][align=left][align=left]（1）
[font=宋体]使用安天防线[/font]2008[font=宋体]“进程管理”关闭病毒进程[/font][/align][/align][align=left][align=left]（2）
[font=宋体]删除病毒文件[/font][/align][/align][align=left][align=left]（3）
[font=宋体]恢复病毒修改的注册表项目，删除病毒添加的注册表项[/font][/align][/align][align=left][align=left]1)
[font=宋体]删除注册表项[/font][/align][/align][align=left][align=left]1.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run][/align][/align][align=left][align=left]2.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows[/align][/align][align=left][align=left]\CurrentVersion\Run][/align][/align][align=left][align=left]3.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[font=宋体]劫持的文件名称[/font]][/align][/align][align=left][align=left]2)
[font=宋体]还原删除的注册表项[/font][/align][/align][align=left][align=left]4.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL][/align][/align][align=left][align=left]5.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}][/align][/align][align=left][align=left]6.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}][/align][/align][align=left][align=left]7.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}][/align][/align][align=left][align=left]8.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}][/align][/align][align=left][align=left]3)
[font=宋体]恢复修改的注册表项[/font][/align][/align][align=left][align=left]9.
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced][/align][/align][align=left][align=left]10.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden][/align][/align][align=left][align=left]11.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\helpsvc][/align][/align][align=left][align=left]12.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess][/align][/align][align=left][align=left] [/align][/align][align=left][align=left][font=宋体]相关链接参见：[/font][url=http://www.antiy.com/security/report/20080701.htm][color=#0000ff]http://www.antiy.com/security/report/20080701.htm[/color][/url][/align][/align]