开机开自动打开记事本程序。经过对样本的分析,确认此现象是蠕虫行为,特此提醒广大网友警惕。

这个蠕虫目前绝大多数的主流杀毒软件都可以查杀,请发现此现象的朋友升级杀毒软件进行杀毒!

以下是对此蠕虫做的一些简单分析:蠕虫名称:Worm.Win32.Delf.aj(AVP)

蠕虫别名:Trojan.Spy.UsbSpy.a(瑞星)、TrojanSpy.USBSpy.a(江民)

蠕虫大小:47,104字节
加壳方式:UPX
MD5:07adddef653a702b9a11edbcee07e82b
CRC32:100A382A
发作现象:
电脑开机时会自动弹出记事本,会生成wincfgs.exe、KB20060111.exe等文件

行为分析:
1. 在注册表中创建USBSpyRunMutex互斥量,避免重复感染。
2. 在系统中生成
C:%system%wincfgs.exe(系统、隐藏、只读属性)
C:%WINDOWS%KB20060111.exe(大小66,560
字节,非病毒,是记事本程序)
3. 在注册表中添加:
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindows
Load =“C:windowssystem32wincfgs.exe”
4.
在移动设备中生成RECYCLERRECYCLER目录和autorun.inf,在这个目录下生成autorun.exe、desktop.ini。

autorun.inf的内容:
[autorun]
open=.RECYCLERRECYCLERautorun.exe
shell1=Open
shell1Command=.RECYCLERRECYCLERautorun.exe
shell2=Browser
shell2Command=.RECYCLERRECYCLERautorun.exe
shellexecute=.RECYCLERRECYCLERautorun.exe
autorun.exe同wincfgs.exe
desktop.ini的内容:
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见,当含有病毒的移动设备接入电脑时,蠕虫会被自动运行。

解决办法:新建批处理文件killtext.bat
内容如入下,然后运行
 
echo off
tskill KB20060111
tskill wincfgs
del %windir%kb20060111.exe
del %windir%system32wincfgs.exe
reg delete “HKEY_CURRENT_USERSoftwareMicrosoftWindows
NTCurrentVersionWindows” /v “load” /f
reg add “HKEY_CURRENT_USERSoftwareMicrosoftWindows
NTCurrentVersionWindows” /v “load” /t REG_SZ /d “”
/f
 
这个病毒主要通过U盘传播(天,又是U盘!),心里想着,根据病毒传播性的特征,校园里有这种”记事本病毒”的肯定不只我一个….虽然病毒比较低级,危害也没有很明显的特征.不过既然自己发现了问题,总要找个说法出来吧~~~(况且,实在没人理我呢~~~)
PS:上面的程序是记事本病毒的专杀;
    
本人决非电脑高手,只是将程序转过来给大家分享.至于程序的有效性,个人配合各种手动和强制手段觉得还是有效果的.望各位风云里的电脑高手多多评价指正.
 

1 对 “开机开自动打开记事本”的想法;

发表评论

电子邮件地址不会被公开。 必填项已用*标注