Ｕ盤蠕蟲
Worm.Win32.AutoRun.b
捕獲時間
2010-3-24
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“蠕蟲病毒”，由微點(diǎn)主動防御軟件自動捕獲，長度為“341，075”字節(jié)，圖標(biāo)為“
”，使用“exe”擴(kuò)展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載，移動存儲介質(zhì)等方式進(jìn)行傳播。病毒主要目的是下載安裝木馬程序。
用戶中毒后會出現(xiàn)網(wǎng)絡(luò)運(yùn)行緩慢，安全軟件無故關(guān)閉，系統(tǒng)無故報錯，無法進(jìn)入安全模式，出現(xiàn)大量未知進(jìn)程等現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
網(wǎng)頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點(diǎn)主動防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動防御將自動保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點(diǎn)主動防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動防御軟件升級到最新版，微點(diǎn)主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“未知后門程序“，請直接選擇刪除處理（如圖1）；
圖1 微點(diǎn)主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點(diǎn)主動防御軟件升級到最新版本，微點(diǎn)將報警提示您發(fā)現(xiàn)木馬"Worm.Win32.AutoRun.b”，請直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動防御軟件升級后截獲已知病毒
未安裝微點(diǎn)主動防御軟件的手動解決辦法：
1.手動刪除以下文件
%SystemRoot%\system32\dotnetfx.dll
%Temp%\ReInstall.exe
%Temp%\Forter.sys
%SystemRoot%\system32\APPMGMTS.dll
2.手動刪除以下注冊表項(xiàng)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DotNetRecovery
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：.Net Recovery
數(shù)據(jù)：rundll32.exe dotnetfx.dll,repair
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS 項(xiàng)下生成大量劫持項(xiàng)。
HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\FORTER
3. 手動恢復(fù)以下注冊表值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
4. 用正常系統(tǒng)文件替換%SystemRoot%\system32\APPMGMTS.dll
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1，釋放文件病毒文件%SystemRoot%\system32\dotnetfx.dll并加載運(yùn)行，更改注冊表項(xiàng)記錄運(yùn)行次數(shù)并將其添加到系統(tǒng)自啟動項(xiàng)以搜索感染移動存儲介質(zhì)。
2，釋放病毒文件%Temp%\ReInstall.exe創(chuàng)建線程運(yùn)行。
3，比較自身是否作為服務(wù)運(yùn)行，如果不是則試圖打開管道執(zhí)行命令。并遍歷svchost.exe的服務(wù)項(xiàng)，如果有沒有使用的服務(wù)則讀取該服務(wù)的dll文件，加載sfc_os.dll去除Windows文件保護(hù)。將自身數(shù)據(jù)全部寫入該DLL中，創(chuàng)建文件%SystemDriver%\Delinfo.bin記錄自身路徑等信息，開啟該服務(wù)將被感染的服務(wù)文件載入運(yùn)行。
4，遍歷進(jìn)程，如果發(fā)現(xiàn)kav.exe或bdagent.exe則運(yùn)行相關(guān)代碼試圖躲避殺毒軟件查殺。并始終檢自身運(yùn)行狀態(tài)，監(jiān)視安全軟件運(yùn)行狀態(tài)，解密出自身數(shù)據(jù)。釋放驅(qū)動程序%Temp%\Forter.sys，創(chuàng)建服務(wù)加載驅(qū)動程序，執(zhí)行成功后刪除驅(qū)動文件以及鍵值。計(jì)算內(nèi)核態(tài)函數(shù)地址，計(jì)算SSDT地址并恢復(fù)SSDT，將自身啟動信息發(fā)送給驅(qū)動創(chuàng)建注冊表啟動并創(chuàng)建大量注冊表項(xiàng)劫持大量安全軟件。遍歷進(jìn)程，查找大量殺毒軟件進(jìn)程，如果找到則傳入驅(qū)動，關(guān)閉安全軟件進(jìn)程。
5，創(chuàng)建線程從指定網(wǎng)址下載病毒木馬運(yùn)行，刪除安全模式相關(guān)注冊表鍵值，破壞安全模式。并改寫Host文件屏蔽部分網(wǎng)站。
6，創(chuàng)建線程，搜索并感染文件rar,htm,html,asp,aspx,exe格式文件。
7，搜索移動介質(zhì)如果找到則創(chuàng)建autorun.inf以及“recycle.{645FF040-5081-101B-9F08-00AA002F954E}\Setup.exe”實(shí)現(xiàn)自動播放感染移動存儲介質(zhì)。
8，查找局域網(wǎng)計(jì)算機(jī)，并嘗試弱口令攻擊，如果入侵成功則在C盤釋放CONFIG.exe并使用at命令計(jì)劃執(zhí)行病毒文件。
病毒創(chuàng)建文件：
%SystemRoot%\system32\dotnetfx.dll
%Temp%\ReInstall.exe
%Temp%\Forter.sys
%SystemRoot%\system32\APPMGMTS.dll
病毒創(chuàng)建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DotNetRecovery
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：.Net Recovery
數(shù)據(jù)：rundll32.exe dotnetfx.dll,repair
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS 項(xiàng)下生成大量劫持項(xiàng)。
HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\FORTER
病毒訪問網(wǎng)絡(luò):
http://a.nb***01.com:6969/announce
http://b.nb***01.com:6969/announce
http://c.nb***01.com:6969/announce
http://d.nb***01.com:6969/announce
http://e.nb***01.com:6969/announce
http://f.nb***01.com:6969/announce
http://g.nb***01.com:6969/announce
http://up.nb***01.com/Down/33.rar
病毒刪除文件：
%Temp%\Forter.sys
病毒刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
