蠕蟲病毒
Worm.Win32.Generic.mu
捕獲時間
2012-09-04
危害等級
中
病毒癥狀
該樣本是使用“C\C ”編寫的“蠕蟲程序”，由微點主動防御軟件自動捕獲,長度為“40,960 ”字節，圖標為“
”，使用“exe”擴展名，通過網絡共享、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是感染用戶系統、訪問惡意網址等。用戶中毒后，會出現網絡運行緩慢，網絡端口開啟，運行未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
網絡共享、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜軟件”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現網絡蠕蟲"Worm.Win32.Generic.mu”，請直接選擇刪除（如圖2）
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動停止并刪除服務
"DLANX"、"nvmini"
2.手動刪除文件
"%SystemRoot%\linkinfo.dll"
"移動磁盤根目錄\boot.exe"
"移動磁盤根目錄\"Autorun.inf"
"%SystemRoot%\AppPatch\AcLue.dll"
"共享目錄\setup.exe"
"%SystemRoot%\system32\drivers\nvmini.sys"
"%SystemRoot%\system32\drivers\IsDrv118.sys"
替換文件"%SystemRoot%\system32\drivers\etc\hosts"
3.修復所有被感染的*.exe文件
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.獲取系統目錄，創建文件"C:\WINDOWS\linkinfo.dll"，寫入病毒數據。
2.加載"C:\WINDOWS\linkinfo.dll"到當前進程地址空間，調用其導出函數"#101"，該函數獲取系統目錄，創建文件"C:\WINDOWS\system32\drivers\IsDrv118.sys"，寫入病毒數據。加載該文件到系統地址空間并執行，并刪除該文件。
3.打開名字為"PNP#DMUTEX#1#DL5"的互斥對象，防止重復執行，提升當前進程權限為"SeDebugPrivilege（調試特權級）"。
4.創建進程快照，查找進程"explorer.exe",將文件"C:\WINDOWS\linkinfo.dll"注入到該進程地址空間并執行。
5."C:\WINDOWS\linkinfo.dll"運行之后，開辟多線程：
(1)將文件"C:\WINDOWS\AppPatch\AcLue.dll.new"拷貝重命名為"C:\WINDOWS\AppPatch\AcLue.dll"，并加載該文件到當前進程地址空間，獲取其導出函數，之后刪除"AcLue.dll.new"。
(2)監控所有可移動設備，并向其寫入病毒文件"boot.exe"、"Autorun.inf"，并設置文件屬性為只讀、隱藏、系統。
(3)遍歷所有磁盤，查找并感染除了目錄"\QQ"、"LOCAL SETTINGS\TEMP\"、"\WINDOWS\"、"\WINNT\"以及名字為"zhengtu.exe"、"audition.exe"、"kartrider.exe"、"nmservice.exe"、"ca.exe"、"nmcosrv.exe"、 "nsstarter.exe"、"maplestory.exe"、"neuz.exe"、"zfs.exe"、"gc.exe"、"mts.exe"、"hs.exe"、 "mhclient-connect.exe"、"dragonraja.exe"、"nbt-dragonraja2006.exe"、"wb-service.exe"、"game.exe"、"xlqy2.exe"、"sealspeed.exe"、"asktao.exe"、"dbfsupdate.exe"、 "autoupdate.exe"、"dk2.exe"、"main.exe"、"userpic.exe"、"zuonline.exe"、"config.exe"、 "mjonline.exe"、"patcher.exe"、"meteor.exe"、"cabalmain.exe"、"cabalmain9x.exe"、 "cabal.exe"、"au_unins_web.exe"、"大話西游.exe"、"xy2.exe"、"flyff.exe"、"xy2player.exe"、"trojankiller.exe"、"patchupdate.exe"、 "ztconfig.exe"、"woool.exe"、"wooolcfg.exe"等之外的所有"*.exe"文件。
(4)提升當前進程權限為"SeDebugPrivilege（調試特權級）"，破壞瑞星卡卡安全助手文件"C:\WINDOWS\system32\drivers\RsBoot.sys"。
(5)向其他網絡共享目錄寫入病毒文件"setup.exe"，并嘗試登陸其他主機，并創建名字為"DLANX"的服務，執行映像指向"setup.exe"。
(6)強制結束進程"sxs.exe"、"logo1_.exe"、"fuckjacks.exe"、"spoclsv.exe"、"nvscv32.exe"、"svch0st.exe"、 "c0nime.exe"、"iexpl0re.exe"、"ssopure.exe"、"upxdnd.exe"、"wdfmgr32.exe"、"spo0lsv.exe"、 "ncscv32.exe"等多個病毒進程。
(7)將文件"C:\WINDOWS\system32\drivers\etc\hosts"移動重命名為"C:\WINDOWS\system32\drivers\etc\hosts.txt"，并用病毒文件替換該文件。
(8)已掛起的方式創建新進程""C:\Program Files\Internet Explorer\IEXPLORE.EXE" -nohome"，將病毒數據注入該進程地址空間并執行。
(9)創建文件"C:\WINDOWS\system32\drivers\nvmini.sys"，寫入病毒數據，并創建名字為"nvmini"的服務，啟動類型為自動，執行映像執行"C:\WINDOWS\system32\drivers\nvmini.sys"，之后啟動此服務。
病毒創建文件:
"%SystemRoot%\linkinfo.dll"
"移動磁盤根目錄\boot.exe"
"移動磁盤根目錄\"Autorun.inf"
"%SystemRoot%\AppPatch\AcLue.dll"
"共享目錄\setup.exe"
"%SystemRoot%\system32\drivers\nvmini.sys"
"%SystemRoot%\system32\drivers\IsDrv118.sys"
"%SystemRoot%\system32\drivers\etc\hosts"
病毒訪問網絡：
"http://info.95****.com/info.asp"
