这是一个VBS编写的脚本病毒
病毒运行后会先获取本机计算名称,并将自身更改名称为"ComputerName.vbs"(computername为获得的本机计算机名称)复制到%SYSTEM32%目录中.
病毒会遍历进程,查找以下关键字的进程"ras.exe", "360tray.exe", "taskmgr.exe", "cmd.exe", "cmd.com", "regedit.exe", "regedit.scr", "regedit.pif", "regedit.com", "msconfig.exe", "SREng.exe", "USBAntiVir.exe",并结束这些进程,使当前机器失去保护.
病毒会修改注册表和修改Win.ini文件达到自启动目的HKEY_CURRENT_USER\SoftWare\Microsoft\Windows NT\CurrentVersion\Windows\Load"SystemRoot%\System32\WScript.exe + 病毒路径名"WIN.INI\WINDOWS"LOAD" = %SYSTEM%\(病毒文件名)
病毒会修改如下文件关联,使用户在执行下列类型文件时,病毒可以跟随启动.
HKEY_CLASSES_ROOT\chm.file\shell\open\command%SYSTEMROOT%\SYSTEM32\WSCRIPT.EXE "%WINDOWS%\OP.VBS" %1 %*
HKEY_CLASSES_ROOT\txtfile\shell\open\command%SYSTEMROOT%\SYSTEM32\WSCRIPT.EXE "%WINDOWS%\OP.VBS" %1 %*
HKEY_CLASSES_ROOT\regfile\shell\open\command%SYSTEMROOT%\SYSTEM32\WSCRIPT.EXE "%WINDOWS%\OP.VBS" %1 %*
病毒会修改注册表选项,使当前机器查看隐藏文件失效
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
\Advanced"ShowSuperHidden" = 0X00000000
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder
\Hidden\SHOWALL"CheckedValue" = 0X00000000
遍历本地分区,如果是可移动存储设备,映射目录,本地磁盘,则向对应的根目录中写入autorun.inf wscript.exe 和病毒本身
autorun.inf的内容如下:
[AutoRun]"
"Shellexecute=WScript.exe "
"shell\AutoRun=打开(&O)"
"shell\AutoRun\command=WScript.exe "
"shell\AutoRun1=资源管理器(&X)"
"shell\AutoRun1\command=WScript.exe "
病毒遍历中毒机器中的html hta htm asp vbs文件,当本身插入到以上类型文件中的任意部分,达到感染文件的目的.
病毒会遍历mpg rmvb avi rm文件,并删除一些规定好关键字的文件.
总结：该病毒虽然没有一些具体的偷用户密码,开后门,监控用户机器等行为,但该病毒有很大的扩展空间,拿到该脚本病毒的人,可以随意向中添加代码.例如加上一段Downloade代码,就可以变成一个可感染型的下载病毒,而这些下载的病毒,有可能是偷密码的,有可能是后门,也有可能是蠕虫,总之,这个脚本病毒是一个很好的框架,给病毒制作者提供了一个便利的平台.同时,也会对广大用户来带很大的潜在危险.
安全建议：
1 安装正版杀毒软件、个人防火墙和卡卡上网安全助手,并及时升级，瑞星杀毒软件每天至少升级三次。
2 使用“瑞星系统安全漏洞扫描”，打好补丁，弥补系统漏洞。
3 不浏览不良网站，不随意下载安装可疑插件。
4 不接收QQ、MSN、Emial等传来的可疑文件。
5 上网时打开杀毒软件实时监控功能。
6 把网银、网游、QQ等重要软件加入到“瑞星帐号保险柜”中，可以有效保护密码安全。
清除办法：
1 . 瑞星杀毒软件清除办法：
安装瑞星杀毒软件，升级到19.41.12版以上，对电脑进行全盘扫描，按照软件提示进行操作，即可彻底查杀。
安全中国首页 > 新闻中心 > 病毒分析报告