病毒标签：

　　病毒名称： Email-Worm.Win32.Warezov.am

　　中文名称： 传单

　　病毒类型： 蠕虫类

　　文件 MD5： 116C0F5BDC126CE5FE8DE20526DAD02F

　　公开范围： 完全公开

　　危害等级： 中等

　　文件长度： 201,321 字节

　　感染系统： Win9X以上系统

　　开发工具： Microsoft Visual C++ 7.0

　　加壳类型:　MEW 11 1.2 -> NorthFox/HCC

　　命名对照： 毒霸[Win32.Warezov.am.201321]

　　Ewido[Worm.Warezov.am]

病毒描述：

　　该病毒运行后，衍生病毒文件到系统目录下。病毒文件通过安装全局系统钩子注入msutcomd.dll,至所有运行中的程序安装其身组件。之后从指定网址下载病毒文件到本机安装。通过邮件传播。

行为分析：

　　1、衍生下列副本与文件

　　%System32% dmdsmp4s.dll

　　%System32% hticwmis.dll

　　%System32%mqpentsd.exe　　　　　 infected: Email-Worm.Win32.Warezov.ay

　　%System32%msutcomd.dll　　　　　 infected: Email-Worm.Win32.Warezov.ay

　　%System32%qediwdig.dll　　 　　　infected: Email-Worm.Win32.Warezov.ay

　　%System32%hmejgmd.exe

　　%System32%acac.dll 　　　　　　　infected: Email-Worm.Win32.Warezov.ay

　　%System32%acac.exe　　　　　　　 infected: Trojan.Win32.Agent.wc

　　%System32%shmejgmd.exe

　　2、新建注册表键值：

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNT

　　CurrentVersionWinlogonNotifyacacDllName

　　Value: String: "%system32%acac.dll"

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNT

　　CurrentVersionWinlogonNotifyhticwmisDllName

　　Value: String: "%system32hticwmis.dll"

　　HKLMSOFTWAREMicrosoftWindows NTCurrentVersion

　　WindowsAppinit_Dlls

　　Value: String: “%system32%dmdsmp4s.dll”

　　HKLMSOFTWAREMicrosoftWindows NTCurrentVersion

　　WindowsAppinit_Dlls

　　Value: String: “%system32%qediwdig.dll”

　　3、连接下列网址：

　　www3.vertionkdaseliplim.com(83.149.74.13)　　　　　80

　　traferreg.com(72.36.129.202)　　　　　　　　　　　 80

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C: WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

清除方案：

　　手工清除请按照行为分析删除对应文件，恢复相关系统设置。

　　(1) 使用“进程管理”关闭病毒进程

　　(2) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNT

　　CurrentVersionWinlogonNotifyacacDllName

　　Value: String: "%system32%acac.dll"

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNT

　　CurrentVersionWinlogonNotifyhticwmisDllName

　　Value: String: "%system32hticwmis.dll"

　　HKLMSOFTWAREMicrosoftWindowsNTCurrentVersion

　　WindowsAppinit_Dlls

　　Value: String: “%system32%dmdsmp4s.dll”

　　HKLMSOFTWAREMicrosoftWindowsNTCurrentVersion

　　WindowsAppinit_Dlls

　　Value: String: “%system32%qediwdig.dll”

　　(3) 重新启动计算机

　　(4) 删除病毒衍生文件

　　%System32% dmdsmp4s.dll

　　%System32% hticwmis.dll

　　%System32%mqpentsd.exe

　　%System32%msutcomd.dll

　　%System32%qediwdig.dll

　　%System32%hmejgmd.exe

　　%System32%acac.dll

　　%System32%acac.exe

　　%System32%shmejgmd.exe