蠕蟲病毒程序
Worm.Win32.AutoRun.sgs
捕獲時間
2010-1-5
危害等級
中
病毒癥狀
該樣本是使用“Visual C /C”編寫的“蠕蟲病毒”程序，由微點主動防御軟件自動捕獲，采用“ASPack”加殼方式，企圖躲避特征碼掃描，加殼后長度為“33,280 字節“，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“移動存儲介質”等方式傳播。
用戶中毒后，會出現計算機及網絡運行緩慢，安全軟件退出等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista
傳播途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Worm.Win32.AutoRun.sgs”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%ProgramFiles%\spo0tv.exe
%Temp%\nnn3.tmp
X:\AUTORUN.inf
X:\ HpiH.pIf
X為任意盤符
2、手動修改以下注冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\currentVersion\explorer\advanced\folder\hidden\showall
鍵: CheckedValue 鍵值: DWORD: 1 (0x1)
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
鍵: DisableTaskMgr鍵值: DWORD: 1 (0x1)
手動刪除以下注冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[安全軟件]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ xtpin
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\shenhu
3．手動替換以下文件：
用相同版本替換%SystemDriver%\system32\linkinfo.dll
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1．病毒運行后，檢查文件"%SystemRoot%\system32\at.exe" 是否存在，如果不存在，則退出進程。
2．創建進程快照，遍歷進程，如果發現360tray.exe，就刪除360相關服務，則以taskkill命令結束"360rp.exe"和"360sd.exe"進程。
3．釋放病毒文件"%ProgramFiles%\spo0tv.exe"，并設置為系統隱藏。
4．在spo0tv.exe中修改注冊表，禁用任務管理器和禁用顯示隱藏文件。
5．在spo0tv.exe中查找文件"%SystemRoot%\system32\taskmgr.exe"，如果創建成功則退出。
6．如果沒有創建成功，重啟后刪除。
7．創建名字 "YMING"的互斥體，設置自己為"SeDebugPrivilege"以提升自己的權限。
8．查創建線程，枚舉窗口，遍歷進程，如果發現avp.exe，遍歷進程模塊卸載kavbase.kdl、webav.kdl，以"cmd /c sc config avp start= disabled"關閉avp服務；創建線程查找360safe.exe、360tray.exe、safeboxtray.exe、360safebox.exe、krnl360svc.exe、zhudongfangyu.exe、rstray.exe、360sd.exe、360rp.exe、kavstart.exe、kswebshield.exe、Mcshield.exe等進程，如果找到則關閉進程。
9．創建線程，釋放文件并加載動態庫文件"%Temp%\nnn3.tmp"。
10．在動態庫nnn3.tmp中修改注冊表，使之不能顯示隱藏文件 SOFTWARE\Microsoft\Windows\currentVersion\explorer\advanced\folder\hidden\showall
11．在動態鏈接庫nnn3.tmp中，創建線程，連接網絡，下載病毒列表到本地保存為"%SystemRoot%\Fonts\risin.ini"；創建大量安全軟件映像劫持。
12．創建線程，釋放驅動文件 "%SystemRoot%\fonts\xtpin.sys"，通過向設備"\\.\NEWYEARK"發送控制碼，創建名稱為"Chiae"的服務，恢復SSDT，遍歷查找并結束安全軟件的進程，刪除安全軟件的相關文件，最后刪除驅動文件 。
13．創建線程，監視窗口，發送消息關閉含有殺毒、卡巴斯基、超級巡警、江民、金山、Anti、Firewal、worm、檢測、病毒、查殺、狙劍、微點、綠鷹、感染、監視、專殺等標題的窗口。
14．創建線程，查找并關閉類名為"AfxControlBar42s"的窗口。
15．檢查"%SystemDriver%\system32\dllcache\linkinfo.dll"是否存在，不存在就拷貝"%SystemDriver%\system32\linkinfo.dll"到此文件夾，釋放驅動文件"%SystemDriver%\fonts\shenhu.sys"，創建名稱為"shenhu"的服務，感染"%SystemDriver%\system32\linkinfo.dll"。
16．遍歷磁盤，在每個磁盤下創建AUTORUN.inf和HpiH.pIf。
病毒創建文件：
%ProgramFiles%\spo0tv.exe
%Temp%\nnn3.tmp
%SystemDriver%\Fonts\xtpin.sys
%SystemDriver%\Fonts\shenhu.sys
X:\AUTORUN.inf
X:\ HpiH.pIf
X為任意盤符
病毒修改文件：
%SystemDriver%\system32\linkinfo.dll
病毒刪除文件文件：
%SystemDriver%\Fonts\xtpin.sys
%SystemDriver%\Fonts\shenhu.sys
病毒修改注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\currentVersion\explorer\advanced\folder\hidden\showall
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\SystemDisableTaskMgr
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[安全軟件]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ xtpin
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\shenhu
