Worm.Win32.AutoRun.cyh蠕虫分析

Worm.Win32.AutoRun.cyh蠕虫分析

病毒描述：
　　该病毒为蠕虫病毒。该病毒运行后，衍生病毒文件到系统目录%system32%下；
并在每个逻辑盘符下衍生autorun.inf和病毒文件auto.exe，利用移动设备进行
传播；创建服务，达到随机启动的目的；锁定文件夹选项下的“不显示隐藏的文
件和文件夹”项，以隐藏病毒文件；删除报错服务，以防止病毒运行后使系统出
现错误时提示用户。连接网络下载大量病毒文件，由于病毒种类繁多，给用户清
理病毒带来极大的不便。

行为分析：
本地行为：

1、 文件运行后会释放以下文件:
　　　　%DriveLetter%autorun.inf 　　　　78 字节
　　　　%DriveLetter%auto.exe 　　　　　 17,039字节
　　　　%System32%3C352CC8.EXE 　　　　　17,039字节
　　　　%System32%AFF1CD48.DLL 　　　　　61,440 字节

2、创建病毒服务，随机启动运行病毒文件：

　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\83F6EA98]
　　　　注册表值: "ImagePath"
　　　　类型： REG_SZ
　　　　字符串： “C:\WINDOWS\system32\3C352CC8.EXE -k”
　　　　描述:启动病毒服务文件的映像路径

　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\83F6EA98]
　　　　注册表值: "Description "
　　　　类型： REG_SZ
　　　　字符串： “AFF1CD48”
　　　　描述:服务描述
　　　　
　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\83F6EA98]
　　　　注册表值: "DisplayName"
　　　　类型： REG_SZ
　　　　字符串： “83F6EA98”
　　　　描述:服务名

　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\83F6EA98]
　　　　注册表值: "Start"
　　　　类型： DWORD
　　　　值： 2 (0x2)
　　　　描述:服务的启动方式为自动

3、修改注册表：
　　
　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
　　　　\Windows\CurrentVersion\Explorer\Advanced
　　　　\Folder\Hidden\SHOWALL\CheckedValue]
　　　　新建键值：DWORD: 0 (0)
　　　　原键值：DWORD: 1 (0x1)
　　　　描述：隐藏含有隐藏属性的病毒文件

　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
　　　　\PCHealth\ErrorReporting\DoReport]
　　　　新建键值：DWORD: 0 (0)
　　　　原键值：DWORD: 1 (0x1)
　　　　
　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
　　　　\PCHealth\ErrorReporting\ShowUI]
　　　　新建键值：DWORD: 0 (0)
　　　　原键值：DWORD: 1 (0x1)
　　　　描述：禁止显示错误报告

4、删除报错服务相关的注册表键值：

　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\ERSvc]
　　　　注册表值: "Description "
　　　　类型： REG_SZ
　　　　字符串： “服务和应用程序在非标准环境下运行时允许错误报告”
　　　　描述:服务描述
　　　　
　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\ERSvc]
　　　　注册表值: "DisplayName"
　　　　类型： REG_SZ
　　　　字符串： “Error Reporting Service”
　　　　描述:服务名称

　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\ERSvc]
　　　　注册表值: "ImagePath"
　　　　类型： REG_SZ
　　　　字符串： “%SystemRoot%\System32
　　　　\svchost.exe -k netsvcs”
　　　　描述:启动服务的映像路径
　　　　
　　　　[HKEY_LOCAL_MACHINE\SYSTEM
　　　　\ControlSet001\Services\ERSvc]
　　　　注册表值: "Start"
　　　　类型： DWORD
　　　　值： 2 (0x2)
　　　　描述:服务的启动方式为自动

网络行为:　　
　　
连接网络下载大量病毒文件,并在本机运行：

　　　　http://222.73.26.* /e47e57844ef30ab4.exe
　　　　病毒名：Worm.Win32.AutoRun.cyq

　　　　http://222.73.247.***/mh.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.tde

　　　　http://222.73.247.***/qj.exe
　　　　病毒名：Trojan.Win32.Vaklik.nb

　　　　http://222.73.247.***/jr.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.ucd

　　　　http://222.73.247.***/huaxia.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.sol

　　　　http://222.73.247.***/qqsg.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.som

　　　　http://222.73.247.***/tl.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.sbm

　　　　http://222.73.254.**/my.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.spx

　　　　http://222.73.254.**/fh.exe
　　　　病毒名：Trojan.Win32.Vaklik.ns

　　　　http://222.73.254.**/zyhx.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.suq

　　　　http://61.129.45.***/zt.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.udl

　　　　http://61.129.45.***/dh2.exe
　　　　病毒名：Trojan.Win32.Vaklik.mn

　　　　http://220.189.255.**/wow.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.scr

　　　　http://220.189.255.**/wl.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.ucj

　　　　http://220.189.255.**/wd.exe
　　　　病毒名：Trojan.Win32.KillAV.pg

　　　　http://220.189.255.**/jh.exe
　　　　病毒名：Trojan.Win32.Vaklik.nz

　　　　http://220.189.255.**/zy.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.sck

　　　　http://220.189.255.**/dh3.exe
　　　　病毒名：Trojan-PSW.Win32.OnLineGames.tow

注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的
位置。
　　
　　　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　\当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32