病毒标签病毒名称： Worm.Win32.AutoRun.cyh
病毒类型： 蠕虫
文件 MD5： 6994C1D484036067449C8E776F0F4EF9
公开范围： 完全公开
危害等级： 4
文件长度： 加壳后17,039 字节 脱壳后169,472字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++
加壳类型： WinUpack 0.37-0.39
病毒描述该病毒为蠕虫病毒。该病毒运行后，衍生病毒文件到系统目录%system32%下；并在每个逻辑盘符下衍生autorun.inf和病毒文件auto.exe，利用移动设备进行传播；创建服务，达到随机启动的目的；锁定文件夹选项下的“不显示隐藏的文件和文件夹”项，以隐藏病毒文件；删除报错服务，以防止病毒运行后使系统出现错误时提示用户。连接网络下载大量病毒文件，由于病毒种类繁多，给用户清理病毒带来极大的不便。
行为分析本地行为：
1、 文件运行后会释放以下文件：
%DriveLetter%autorun.inf 78 字节
%DriveLetter%auto.exe 17,039字节
%System32%3C352CC8.EXE 17,039字节
%System32%AFF1CD48.DLL 61,440 字节
2、创建病毒服务，随机启动运行病毒文件：
[HKEY_LOCAL_MACHINESYSTEMControlSet001Services83F6EA98]
注册表值: "ImagePath"
类型： REG_SZ
字符串： “C:WINDOWSsystem323C352CC8.EXE -k”
描述:启动病毒服务文件的映像路径
[HKEY_LOCAL_MACHINESYSTEMControlSet001Services83F6EA98]
注册表值: "Description "
类型： REG_SZ
字符串： “AFF1CD48”
描述:服务描述
[HKEY_LOCAL_MACHINESYSTEMControlSet001Services83F6EA98]
注册表值: "DisplayName"
类型： REG_SZ
字符串： “83F6EA98”
描述:服务名
[HKEY_LOCAL_MACHINESYSTEMControlSet001Services83F6EA98]
注册表值: "Start"
类型： DWORD
值： 2 (0x2)
描述:服务的启动方式为自动
3、修改注册表：
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLCheckedValue]
新建键值：DWORD: 0 (0)
原键值：DWORD: 1 (0x1)
描述：隐藏含有隐藏属性的病毒文件
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftPCHealthErrorReportingDoReport]
新建键值：DWORD: 0 (0)
原键值：DWORD: 1 (0x1)
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftPCHealthErrorReportingShowUI]
新建键值：DWORD: 0 (0)
原键值：DWORD: 1 (0x1)
描述：禁止显示错误报告
4、删除报错服务相关的注册表键值
[HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesERSvc]
注册表值: "Description "
类型： REG_SZ
字符串： “服务和应用程序在非标准环境下运行时允许错误报告”
描述:服务描述
[HKEY_LOCAL_MACHINESYSTEM ControlSet001ServicesERSvc]
注册表值: "DisplayName"
类型： REG_SZ
字符串： “Error Reporting Service”
描述:服务名称
[HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesERSvc]
注册表值: "ImagePath"
类型： REG_SZ
字符串： “%SystemRoot%System32svchost.exe -k netsvcs”
描述:启动服务的映像路径
[HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesERSvc]
注册表值: "Start"
类型： DWORD
值： 2 (0x2)
描述:服务的启动方式为自动
网络行为：
连接网络下载大量病毒文件，并在本机运行：
http://222.73.26.* /e47e57844ef30ab4.exe
病毒名：Worm.Win32.AutoRun.cyq
http://222.73.247.***/mh.exe
病毒名：Trojan-PSW.Win32.OnLineGames.tde
http://222.73.247.***/qj.exe
病毒名：Trojan.Win32.Vaklik.nb
http://222.73.247.***/jr.exe
病毒名：Trojan-PSW.Win32.OnLineGames.ucd
http://222.73.247.***/huaxia.exe
病毒名：Trojan-PSW.Win32.OnLineGames.sol
http://222.73.247.***/qqsg.exe
病毒名：Trojan-PSW.Win32.OnLineGames.som.
http://222.73.247.***/tl.exe
病毒名：Trojan-PSW.Win32.OnLineGames.sbm
http://222.73.254.**/my.exe
病毒名：Trojan-PSW.Win32.OnLineGames.spx
http://222.73.254.**/fh.exe
病毒名：Trojan.Win32.Vaklik.ns
http://222.73.254.**/zyhx.exe
病毒名：Trojan-PSW.Win32.OnLineGames.suq
http://61.129.45.***/zt.exe
病毒名：Trojan-PSW.Win32.OnLineGames.udl
http://61.129.45.***/dh2.exe
病毒名：Trojan.Win32.Vaklik.mn
http://220.189.255.**/wow.exe
病毒名：Trojan-PSW.Win32.OnLineGames.scr
http://220.189.255.**/wl.exe
病毒名：Trojan-PSW.Win32.OnLineGames.ucj
http://220.189.255.**/wd.exe
病毒名：Trojan.Win32.KillAV.pg
http://220.189.255.**/jh.exe
病毒名：Trojan.Win32.Vaklik.nz
http://220.189.255.**/zy.exe
病毒名：Trojan-PSW.Win32.OnLineGames.sck
http://220.189.255.**/dh3.exe
病毒名：Trojan-PSW.Win32.OnLineGames.tow
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% Documents and Settings 当前用户Local SettingsTemp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:WinntSystem32 %
windows95/98/me中默认的安装路径是C:WindowsSystem
windowsXP中默认的安装路径是C:WindowsSystem32
清除方案1 、使用安天防线2008可彻底清除此病毒(推荐）。
2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用ATOOL“进程管理”关闭病毒进程。
(2)删除病毒文件：
%DriveLetter%autorun.inf
%DriveLetter%auto.exe
%System32%3C352CC8.EXE
%System32%AFF1CD48.DLL
(3)删除病毒服务注册表项：
[HKEY_LOCAL_MACHINESYSTEMControlSet001Services83F6EA98]
(4)创建报错服务注册表相关键值，可以通过在其他一台正常机器也安装与你同样操作系统中导出报错服务的注册表项，拷贝至本机进行导入。
(5)恢复注册表键：
[HKEY_LOCAL_MACHINESOFTWAREMicrosoft WindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL]
把CheckedValue值改为1，使用户可以选择“显示所有文件和文件夹”。 [HKEY_LOCAL_MACHINESOFTWAREMicrosoftPCHealthErrorReporting]
把DoReport和ShowUI值都改为1，以显示错误报告。
