蠕蟲病毒
Worm.Win32.AutoRun.rsu
捕獲時間
2009-11-27
危害等級
中
病毒癥狀
該樣本是使用“Microsoft Visual C/C ”編寫的“蠕蟲病毒”，由微點主動防御軟件自動捕獲，采用“WinUpack”加殼方式試圖躲避特征碼掃描,加殼后長度為26,264字節，圖標為“
”， 使用“ exe”擴展名，通過網頁木馬、下載器下載、移動介質(如U盤)等方式進行傳播。
用戶中毒后，會出現計算機及網絡運行緩慢，安全軟件退出且無法再次啟動等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista
傳播途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Worm.Win32.AutoRun.rsu”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%SystemRoot%\fonts\txy.ini
%temp%\dll5.tmp
X:\ AutoRun.inf
X:\ ZS.PIF
X為任意盤符。
2、手動刪除以下注冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[安全軟件]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\duomi
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ suiao
3、手動替換以下文件
用相同版本替換
%SystemRoot%\system32\linkinfo.dll
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒運行后嘗試創建"%SystemRoot%\system32\taskmgr.exe"，如果成功就退出當前進程；如果失敗，就開始執行后續主要步驟。
2、首先，動態獲取所需API地址，設置自己為系統、隱藏屬性。
3、查找病毒當前目錄中AUTORUN.INF是否存在，如果不存在，設置系統重啟后刪除，創建名稱為"NXNXNX"的互斥量，如果發現當前系統中存在另一病毒進程，就退出當前進程，如果沒有，就執行后續動作。
4、提升自己為"SeDebugPrivilege"。
5、創建線程，枚舉窗口，遍歷進程查找avp.exe、360sd.exe、rstray.exe、ravmond.exe等進程，如果發現就關閉安全軟件創建的窗口。
6、查找進程ekrn.exe，如果找到就刪除ekrn服務，結束ekrn.exe和egui.exe進程。
7、查找進程nod32krn.exe，如果找到就刪除nod32krn服務，結束nod32krn.exe和nod32kui.exe進程。
8、釋放動態庫文件"%SystemDriver%\lsns.dll"，并設置為系統、隱藏屬性。
9、查找并結束進程RavMonD.exe，調用rundll32.exe加載lsns.dll。
10、在lsns.dll中，釋放驅動文件"%SystemRoot%\Fonts\pci.sys"，創建名稱為"aae"的服務，恢復SSDT，遍歷查找并結束
360safe.exe
360tray.exe
safeboxtray.exe
360safebox.exe
krnl360svc.exe
zhudongfangyu.exe
rstray.exe
360sd.exe
360rp.exe
kavstart.exe
kswebshield.exe
Mcshield.exe等進程，刪除安全軟件相關文件，最后刪除驅動文件。
11、創建線程，釋放并加載動態庫文件dll5.tmp，在dll5.tmp中，創建大量安全軟件和注冊表編輯器的映像劫持，查找兵刃窗口，如果找到就發送消息使其退出，連接網絡，下載病毒列表，根據列表下載病毒到本地運行。
12、創建線程，遍歷查找avp.exe、kavbase.kdl等，如果找到就停止其服務。
13、刪除動態庫文件lsns.dll。
14、檢查"%SystemRoot%\system32\dllcache\linkinfo.dll"是否存在，不存在就拷貝"%SystemRoot%\system32\linkinfo.dll"到此文件夾，釋放驅動文件"%SystemRoot%\Fonts\suiao.sys"，創建名稱為"suiao"的服務，感染"%SystemRoot%\system32\linkinfo.dll"。
15、釋放驅動文件duomi.sys,創建名稱為duomi的服務。
16、遍歷磁盤，在每個磁盤下創建AUTORUN.INF和ZS.PIF，ZS為原病毒的拷貝。
病毒創建文件：
%SystemDriver%\lsns.dll
%SystemRoot%\fonts\suiao.sys
%SystemRoot%\fonts\pci.sys
%SystemRoot%\fonts\duomi.sys
%SystemRoot%\fonts\txy.ini
%temp%\dll5.tmp
X:\ ZS.PIF
X:\ AutoRun.inf
X為任意盤符。
病毒刪除文件：
%SystemDriver%\lsns.dll
%SystemRoot%\fonts\suiao.sys
%SystemRoot%\fonts\pci.sys
%SystemRoot%\fonts\duomi.sys
病毒修改文件：
%SystemRoot%\system32\linkinfo.dll
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[安全軟件]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\duomi
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ suiao
