病毒标签

　　病毒名称： Email-Worm.Win32.Runouce.b

　　病毒类型： 邮件蠕虫类

　　文件 MD5： 52707C103393D7DB31263D0A03CAF5DA

　　公开范围： 完全公开

　　危害等级： 4

　　文件长度： 23,493 字节

　　感染系统： Windows98以上版本

　　加壳类型： nSPack 2.1 - 2.5

　　病毒描述

　　该病毒为蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件，使用bat批处理删除原文件。 修改注册表，并创建服务项,以达到随机启动的目的。该病毒会发送大量的病毒邮件，使本机与网络资源被大量占用，甚至会造成死机现象发生。

　　行为分析-本地行为

　　1、文件运行后会衍生以下文件：

　　 %DriveLetter%auto.exe 　　　　　　　　23,493 字节

　　 %DriveLetter%autorun.inf 　　　　　　 78 字节

　　 %Program Files%NetMeetingreadme.eml 4,882 字节

　　 %System32%145E5540.EXE 　　　　　　　 23,493 字节

　　 %System32%2B4295C.DLL 　　　　　　　　10,834 字节

　　 %System32%delme.bat 　　　　　　　　　291 字节

　　 %System32%runouce.exe 　　　　　　　　10,748 字节

　　2、新建注册表：

　　[HKEY_LOCAL_MACHINESOFTWARE

　　 MicrosoftWindowsCurrentVersionRun]

　　 注册表值：" Runonce"

　　 类型： REG_SZ

　　 值： " C:WINDOWSsystem32runouce.exe "

　　 描述：添加启动项，以达到随机启动的目的

　　3、创建服务，并以服务的方式达到随机启动的目的：

　　 服务名称：AEA69184

　　 显示名称：AEA69184

　　 描述语言：2B4295C

　　 文件路径：C:WINDOWSsystem32145E5540.EXE -k

　　 启动方式：自动

　　4、将2B4295C.DLL插入到EXPLORER.EXE进程和其它相关进程中。

　　5、通过信使服务，从本机向工作组其它成员发送消息：

　　My god! Some one killed chinexe-Hacker-2 Monitor

　　6、搜索本地邮件地址，并自动发送大量病毒邮件，使本机计算机资源耗尽， CPU占用率为100%；占用大量网络资源，使网络速度明显变慢。

　　行为分析-网络行为

　　注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。

　　 %Windir% 　　　　　 　　　　　 WINDODWS所在目录

　　 %DriveLetter%　 　　　　　　　 逻辑驱动器根目录

　　 %ProgramFiles%　 　 　　　　　 系统程序默认安装目录

　　 %HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区

　　 %Documents and Settings% 　　　当前用户文档根目录

　　 %Temp% 　　　　　　　　　　　　Documents and Settings

　　 　　　　　　　 当前用户Local SettingsTemp

　　 %System32% 　　　　　　　　　　系统的 System32文件夹

　　 Windows2000/NT中默认的安装路径是C:WinntSystem32

　　 windows95/98/me中默认的安装路径是C:WindowsSystem

　　 windowsXP中默认的安装路径是C:WindowsSystem32　

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天防线可彻底清除此病毒(推荐)。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool管理工具。

　　(1)使用安天防线或ATool中的“进程管理”关闭病毒的runouce.exe进程：

　　 　 　 使用ATool卸载插入的2B4295C.DLL模块。　 　 　

　　(2)强行删除病毒文件：

　　 　 　 %DriveLetter%auto.exe 23,493 字节

　　 　 　 %DriveLetter%autorun.inf 78 字节

　　 　 　 %Program Files%NetMeetingreadme.eml 4,882 字节

　　 　 　 %System32%145E5540.EXE 23,493 字节

　　 　 　 %System32%2B4295C.DLL 10,834 字节

　　 　 　 %System32%delme.bat 291 字节

　　 　 　 %System32%runouce.exe 10,748 字节

　　(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：

　　 　 　 [HKEY_LOCAL_MACHINESOFTWAREMicrosoft

　　 　 　 WindowsCurrentVersionRun]

　　 　 　 注册表值：" Runonce"

　　 　 　 类型： REG_SZ

　　 　 　 值： " C:WINDOWSsystem32runouce.exe "

　　(4) 禁用服务项AEA69184。