愛華網(wǎng)暴風(fēng)一號（ Worm.Script.VBS.Autorun.be ）是一種惡意蠕蟲病毒，最早出現(xiàn)在2010年1月，其主要傳播媒介為U盤等存貯設(shè)備。主要是由 VBS腳本編寫，再通過添加一些加密以及自變形等手段，來掩飾及達(dá)到病毒的特性。拖慢計(jì)算機(jī)運(yùn)行速度，最終導(dǎo)致無法繼續(xù)正常操作。暴風(fēng)一號病毒使用金山系統(tǒng)急救箱和金山U盤專殺。專家提醒，電腦用戶應(yīng)采取以下措施預(yù)防該病毒：安裝安全軟件并及時升級，做好“漏洞掃描與修復(fù)”，打好補(bǔ)丁，彌補(bǔ)系統(tǒng)漏洞；不瀏覽不良網(wǎng)站，不隨意下載安裝可疑插件；不接收QQ、MSN、Email等傳來的可疑文件；上網(wǎng)時打開殺毒軟件實(shí)時監(jiān)控功能。
暴風(fēng)一號_暴風(fēng)一號 -病毒簡介
該病毒全名為暴風(fēng)一號（ Worm.Script.VBS.Autorun.be ）這是一個由 VBS 腳本編寫，采用加密和自變形手段，并且通過 U 盤傳播的惡意蠕蟲病毒。
該病毒會隱藏電腦中所有文件夾，并生成一個同名的快捷方式，當(dāng)用戶打開時，會誤認(rèn)為是正常的，此時病毒已被執(zhí)行。每當(dāng)系統(tǒng)日期中的月和日相等時（如2月2日），光驅(qū)被病毒自動彈出。病毒會用一個骷髏圖片鎖定電腦屏幕，最后使電腦運(yùn)行速度變得非常緩慢，無法正常操作。
暴風(fēng)一號_暴風(fēng)一號 -病毒行為
自變形
病毒首先通過執(zhí)行 strreverse()函數(shù)，得到病毒的解密函數(shù)。
解密運(yùn)行病毒之后，病毒會重新生成密鑰，將病毒代碼加密之后，再將其自復(fù)制。
所以病毒每運(yùn)行一次之后，其文件內(nèi)容和病毒運(yùn)行之前完全不一樣。
自復(fù)制
病毒會遍歷各個磁盤，并向其根目錄寫入 Autorun.inf 以及 .vbs 文件，當(dāng)用戶雙擊打開磁盤時，會觸發(fā)病毒文件，使之運(yùn)行。
病毒會將系統(tǒng)的 Wscript.exe 復(fù)制到 C:WindowsSystemsvchost.exe
如果是FAT 格式，病毒會將自身復(fù)制到 C:WindowsSystem32 下，文件名為隨機(jī)數(shù)字。
如果是NTFS 格式，病毒將會通過 NTFS 文件流的方式，將其附加到如下文件中。
C:Windowsexplorer.exe
C:WindowsSystem32smss.exe
改注冊表
病毒會修改以下注冊表鍵值，將其鍵值指向病毒文件。當(dāng)用戶運(yùn)行 inf,bat,cmd,reg,chm,hlp 類型的文件，打開Internet Explorer ，或者雙擊我的電腦圖標(biāo)時，會觸發(fā)病毒文件，使之運(yùn)行。
HKLMSOFTWAREClassesinffileshellopenCommand
HKLMSOFTWAREClassesbatfileshellopenCommand
HKLMSOFTWAREClassescmdfileshellopenCommand
HKLMSOFTWAREClassesregfileshellopenCommand
HKLMSOFTWAREClasseschm.fileshellopenCommand
HKLMSOFTWAREClasseshlpfileshellopenCommand
HKLMSOFTWAREClassesApplicationsiexplore.exeshellopenCommand
HKCRCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand
HKEY_CLASSES_ROOTCLSID{20D04FE0-3AEA-1069-A2D8-08002B30309D}shell
HKEY_CLASSES_ROOTCLSID{20D04FE0-3AEA-1069-A2D8-08002B30309D}shellopenCommand
HKEY_CLASSES_ROOTCLSID{20D04FE0-3AEA-1069-A2D8-08002B30309D}shellexplorecommand
病毒還會修改以下注冊表鍵值，用于使文件夾選項(xiàng)中的“顯示隱藏文件”選項(xiàng)失效。HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenNOHIDDENCheckedValue HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLCheckedValue
病毒會刪除以下鍵值，使快捷方式的圖標(biāo)上疊加的小箭頭消失
HKCRlnkfileIsShortcut
病毒會修改以下注冊表鍵值，開啟所有磁盤的自動運(yùn)行特性。
HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDriveTypeAutorun
病毒會修改以下鍵值，使病毒可以開機(jī)自啟動
HKCUSoftwareMicrosoftWindows NTCurrentVersionWindowsload
遍歷文件夾
病毒會遞歸遍歷各個盤的文件夾，當(dāng)遍歷到文件夾之后，會將文件夾設(shè)置為“隱藏 + 系統(tǒng) + 只讀”的屬性。同時創(chuàng)建一個快捷方式，其目標(biāo)指向 vbs腳本，參數(shù)指向被病毒隱藏的文件夾。
由于病毒修改的注冊表會使查看隱藏文件的選項(xiàng)失效，也會屏蔽快捷方式圖標(biāo)的小箭頭，所以具有很大的迷惑型，讓用戶誤以為打開的是文件夾。
關(guān)閉彈出光驅(qū)
每當(dāng)系統(tǒng)日期中的月和日相等的時候（比如說 1 月 1 日， 2 月 2 日……以此類推），病毒激活時，會每隔 10 秒，打開并關(guān)閉光驅(qū)。打開光驅(qū)的次數(shù)由當(dāng)前月份來決定（如 1 月 1 日，每激活一次病毒，就會打開并關(guān)閉光驅(qū) 1 次； 2 月 2 日，每激活一次病毒，就會打開并關(guān)閉光驅(qū) 2 次）。
鎖定計(jì)算機(jī)
暴風(fēng)一號
會調(diào)用 mshta.exe 顯示如下圖片，并且鎖定計(jì)算機(jī)，使用戶無法操作。
進(jìn)程異常
遍歷進(jìn)程，如果發(fā)現(xiàn)有regedit.exe、taskmgr.exe、cmd.exe等進(jìn)程，就調(diào)用 ntsd 命令結(jié)束進(jìn)程，使用戶無法打開注冊表編輯器，和任務(wù)管理器等一些基本的系統(tǒng)工具。
暴風(fēng)一號_暴風(fēng)一號 -殺毒方法
手殺過程
如果被病毒黑屏，可以按 Alt+F4 組合鍵解除。
首先把%windir%system32taskmgr.exe復(fù)制一份到任意目錄，改名并運(yùn)行，或者利用工具，結(jié)束掉所有wscript.exe以及路徑在 C:windowssystemsvchost.exe的進(jìn)程。 最好先用文件粉碎粉碎 C:windowssystemsvchost.exe
運(yùn)行“regedit”，打開注冊表編輯器，找到 ”HKCUSoftwareMicrosoftWindows NTCurrentVersionWindowsload” ，查看其內(nèi)容所指向的路徑。在命令行下，運(yùn)行 del 命令刪除腳本文件。
使用 NTFS 文件流相關(guān)工具，刪除附加在explorer.exe和 smss.exe 中的文件流。
使用文件關(guān)聯(lián)修復(fù)程序，修復(fù)被病毒修改過的文件關(guān)聯(lián)。
修復(fù)IE、我的電腦的指向
刪除每個磁盤根目錄下的autorun.inf以及 vbs 文件。
鑒于此病毒創(chuàng)建病毒文件、路徑還有自啟動方式都都相當(dāng)復(fù)雜，建議使用專業(yè)殺毒軟件在安全模式下查殺。
用軟件殺毒
暴風(fēng)一號病毒使用金山系統(tǒng)急救箱和金山U盤專殺。
先使用金山系統(tǒng)急救箱來修復(fù)異常，
然后再用金山U盤專殺來殺滅母體和修復(fù)被暴風(fēng)更改隱藏的文件夾
暴風(fēng)一號_暴風(fēng)一號 -相關(guān)資訊
上海計(jì)算機(jī)病毒防范服務(wù)中心預(yù)警：一種名為“暴風(fēng)一號蠕蟲”的計(jì)算機(jī)病毒下周起將在網(wǎng)上爆發(fā)，該病毒將嚴(yán)重破壞系統(tǒng)安全，影響計(jì)算機(jī)用戶正常使用。
據(jù)介紹，這是一個由VBS腳本編寫的惡意蠕蟲病毒，采用加密和自變形手段，并且可通過U盤傳播。病毒會隱藏電腦中所有文件夾，并生成一個同名的快捷方式，當(dāng)用戶打開時，會誤認(rèn)為是正常的，此時病毒已被執(zhí)行。每當(dāng)系統(tǒng)日期中的月和日相等時（如2月2日），光驅(qū)被病毒自動彈出。病毒會用一個骷髏圖片鎖定電腦屏幕，最后使電腦運(yùn)行速度變得非常緩慢，無法正常操作。
專家提醒，電腦用戶應(yīng)采取以下措施預(yù)防該病毒：安裝安全軟件并及時升級，做好“漏洞掃描與修復(fù)”，打好補(bǔ)丁，彌補(bǔ)系統(tǒng)漏洞；不瀏覽不良網(wǎng)站，不隨意下載安裝可疑插件；不接收QQ、MSN、Email等傳來的可疑文件；上網(wǎng)時打開殺毒軟件實(shí)時監(jiān)控功能。
從今年開始，電腦病毒更多以破壞、繞過殺毒軟件的方式頻繁出現(xiàn)，讓很多非專業(yè)的殺毒軟件無奈。
如，“暴風(fēng)一號蠕蟲病毒（Worm.Script.VBS.Au－torun.be）”是通過U盤傳播的惡意蠕蟲病毒。它會隱藏電腦中所有文件夾，并產(chǎn)生一個同名的快捷方式，用戶打開時，會把病毒制造的快捷方式誤認(rèn)為原有文件夾，此時病毒已被執(zhí)行。以后，每當(dāng)系統(tǒng)日期中的月和日相等時（如2月2日），光驅(qū)會自動彈出。病毒會用一個骷髏圖片鎖定電腦屏幕，最后使電腦運(yùn)行速度變得非常緩慢。
愛華網(wǎng)本文地址 » http://www.klfzs.com/a/8103440103/98946.html
