一、病毒标签：

病毒名称： Worm.Win32.Fujack.x

病毒类型： 蠕虫类

文件 MD5： 799A9BC4C197EB0AA3873D90F1143EF4

公开范围： 完全公开

危害等级： 4

文件长度： 34,816 字节

感染系统： Windows98以上版本

加壳类型： nSPack 2.1 - 2.5

二、病毒描述：

该病毒为蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件。 修改注册表，添加启动项，以达到随机启动的目的。删除安全相关服务,减弱系统安全性。该病毒具有多种启动方式，而且具有修改注册表隐藏自身的功能；所以发现与清除此病毒用常规方法很难清除掉，生存期会相对较长。该病毒对用户的电脑信息具有严重的威胁。

三、行为分析：

本地行为:

1、 文件运行后会衍生以下文件

%DriveLetter%\autorun.inf

%DriveLetter%\setup.exe

%WinDir%\SchedLgU.Txt

%System32%\drivers\spoclss.exe

%WinDir%\Tasks\SA.DAT

2、 新建注册表

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

注册表值："svcshare"

类型： REG_SZ

值： " C:\WINDOWS\system32\drivers\spoclss.exe "

描述：添加启动项，以达到随机启动的目的

3、修改注册表

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue]

新: DWORD: 0 (0)

旧: DWORD: 1 (0x1)

描述：使隐藏文件不可见

4、 删除安全相关服务：

服务名称：wscsvc

显示名称：Security Center

描述语言：监视系统安全设置和配置。

文件路径：%SystemRoot%\System32\svchost.exe -k netsvcs.

启动方式：自动

5、在各个驱动器盘符下释放启动文件autorun.inf和与其对应的执行文件setup.exe，autorun.inf内容如下：

[AutoRun]

OPEN=setup.exe

shellexecute=setup.exe

shell\Auto\command=setup.exe

6、将自身添加到Tasks文件夹下的计划任务中，任务计划的相关信息在SchedLgU.Txt内记录

7、连接网络获得病毒相关信息(存储在1.txt内)：

连接网络：

www.2008crazy.com(209.85.84.161:80)

详细路径：www.2008crazy.com /ad/test/1.txt

注释：

%Windir%WINDODWS所在目录

%DriveLetter%逻辑驱动器根目录

%ProgramFiles%系统程序默认安装目录

%HomeDrive%当前启动系统所在分区

%Documents and Settings%当前用户文档根目录

%Temp%当前用户TEMP缓存变量；路径为：

%Documents and Settings%\当前用户\Local Settings\Temp

%System32%是一个可变路径；

病毒通过查询操作系统来决定当前System32文件夹的位置；

Windows2000/NT中默认的安装路径是　C:\Winnt\System32；

Windows95/98/Me中默认的安装路径是　C:\Windows\System；

WindowsXP中默认的安装路径是　C:\Windows\System32。

四、 清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。

(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程

(2) 强行删除病毒文件

%DriveLetter%\autorun.inf

%DriveLetter%\setup.exe

%WinDir%\SchedLgU.Txt

%System32%\drivers\spoclss.exe

%WinDir%\Tasks\SA.DAT

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

删除新建注册表

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

注册表值："svcshare"

类型： REG_SZ

值： " C:\WINDOWS\system32\drivers\spoclss.exe "

描述：添加启动项，以达到随机启动的目的

恢复修改注册表

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue]

新: DWORD: 0 (0)

旧: DWORD: 1 (0x1)

描述：使隐藏文件不可见

(4) 在注册表中添加下列wscsv服务信息：

服务名称：wscsvc

显示名称：Security Center

描述语言：监视系统安全设置和配置。

文件路径：%SystemRoot%\System32\svchost.exe -k netsvcs.

启动方式：自动

转载地址：http://technic.i8cn.com/news3936.htm

欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com

关注天下网吧微信,了解网吧网咖经营管理，安装维护: