病毒的表现:" r, D! ^" P/ t8 N/ c- O) E2 z$ z
- W: \9 Z6 O" A& Z6 b& @- X/ b
1. 在注册表中创建USBSpyRunMutex互斥量,避免重复感染。/ x5 t5 h# E3 `& z
2. 在系统中生成1 @) G2 i4 p) _3 i8 H
C:\%system%\wincfgs.exe(系统、隐藏、只读属性)0 i5 P# A9 o. k0 r) M" F
C:\%WINDOWS%\KB20060111.exe(大小66,560 字节,非病毒,是记事本程序)$ |; q h6 s. z3 p7 k! s! H
3. 在注册表中添加:$ H# m O1 i" m/ V6 {
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows* |7 e5 L; x4 c6 l
Load =“C:\windows\system32\wincfgs.exe”
, a* j9 d1 `) z4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf,在这个目录下生成autorun.exe、desktop.ini。' ]# G) Q4 D4 t# t5 M0 I
autorun.inf的内容:$ _2 e$ U; |- _( N. p; N9 V
[autorun]+ Y. I* L- a; D s
open=.\RECYCLER\RECYCLER\autorun.exe
2 h$ G& e9 Z6 s5 z# t1 rshell\1=Open
# w I/ q' R# `7 F# Gshell\1\Command=.\RECYCLER\RECYCLER\autorun.exe C: v4 n" }0 y( r- Z. J
shell\2\=Browser
: K2 s& S; R) f, C1 H6 N( Ashell\2\Command=.\RECYCLER\RECYCLER\autorun.exe
) v7 T! a& q, B6 Vshellexecute=.\RECYCLER\RECYCLER\autorun.exe6 `* H1 W9 V' \' ]! n! N% e
autorun.exe同wincfgs.exe
6 i1 ]5 U; y3 R. d- Hdesktop.ini的内容:7 C- r( Z# T- n1 Y# F# l; I
[.ShellClassInfo]
+ N7 { |* X( M ^: ]CLSID={645FF040-5081-101B-9F08-00AA002F954E} Y- c/ z' j2 h* r, w
由此可见,当含有病毒的移动设备接入电脑时,蠕虫会被自动运行产生一个无标题的记事本,只要把上面的生成的文件找到并删除,就可以了。不过要记得其中有相当多的文件是隐藏文件来的~要在工具->文件夹选项->查看-> 显示所有文件和文件夹 才可以找到~呵呵~ |