惡意程序
Malware.Win32.Agent.a
捕獲時間
2010-1-29
危害等級
高
病毒癥狀
該樣本是使用“Microsoft Visual Basic”編寫的“惡意程序”，由微點主動防御軟件自動捕獲，采用winrar創建的自解壓文件，壓縮后長度為3,376,783字節，圖標為“
”， 使用“ exe”擴展名，通過網頁木馬、下載器下載、等方式進行傳播。
用戶中毒后，會出現計算機立即重啟，無法再次進入系統、刪除所有磁盤分區等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista
傳播途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Malware.Win32.Agent.a”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
該病毒如果執行成功，所有分區將被刪除，無法手動恢復。
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1.該惡意程序運行后會在%SystemDriver%下釋放quick.exe，此程序的作用是重啟計算機。
2.釋放BOOT.ini替換系統正常的BOOT.ini，
替換后的BOOT.ini內容為：
[boot loader]
timeout=0
default=c:\grldr
[operating systems]
c:\grldr="爽死你！"
3.釋放grldr以及BOOT文件夾中的文件。
4.當病毒重啟計算機后將無法正常進入系統，所有磁盤分區將被刪除。
5.由于此惡意程序存在bug，所以只有在%SystemDriver%下才能執行成功。
病毒創建文件：
%SystemDriver%\grldr
%SystemDriver%\boot\*.*
病毒替換文件：
%SystemDriver%\boot.ini
