标题：Worm.Win32.AutoRun.qpv
病毒标签
病毒名称： Worm.Win32.AutoRun.qpv
病毒类型： 蠕虫
文件 MD5： 3166743046C030B5E597E5FAE755C33F
公开范围： 完全公开
危害等级： 4
文件长度： 20,560 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
病毒描述
该病毒是蠕虫，病毒的图标为windows自动更新程序，诱骗用户点击运行。病毒运行后，隐藏自身，破坏系统正常SFC功能，更改系统文件操作权限、删除系统文件、并用病毒文件替换正常的系统更新程序。病毒遍历进程列表，搜索并结束对其自身存在构成威胁的进程，隐藏打开Internet Explorer，通过远程写入在IE进程中创建病毒线程。病毒修改注册表启动项，达到开机自启动的目的、添加映像劫持项，使众多安全工具无法启动。病毒在各磁盘分区创建autorun.inf文件和病毒副本文件way.pif文件，达到自启动和U盘传播的目的。病毒检测当前鼠标位置的窗口是否含有对病毒有危险的信息，当出现病毒认为威胁它存在的信息是关闭此窗口。病毒连接网络更新自身，下载并运行大量其他病毒。
行为分析
本地行为

清除方案
1、使用安天防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 用Atool结束所有IE进程。
(2) 用Atool强制删除以下所有文件：
病毒原文件
%System32%\dllcache\wuauclt.exe
%System32%\wuauclt.exe
%System32%\dmdskmgrs.dll
%DriveLetter%\WAY.PIF
%DriveLetter%\AUTORUN.INF
%HomeDrive%\WAY.PIF %HomeDrive%\AUTORUN.INF
%HomeDrive%\tEM.tep
%System32%\drivers\npf.sys
%System32%\dllcache\wuauclt.exe
%System32%\dllcache\npptools.dll
%System32%\OLDE.tmp
%System32%\dmdskmgrs.dll
%System32%\htxvimes.dll
%System32%\lsaes.exe
%System32%\WanPacket.dll
%System32%\Packet.dll
%System32%\wpcap.dll
%System32%\wacclt.exe
%System32%\wuauclt.exe
%System32%\npptools.dll
%System32%\mprmsgse.axz
%System32%\dkmdskmgrs.dll
%Windir%\Kler\pbhealth.dll
%Windir%\LastGood\system32\npptools.dll
%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\3.pif
桌面\A.PIF
%HomeDrive%\Documents and Settings\2.pif
%HomeDrive%\Documents and Settings\3.pif
%HomeDrive%\Documents and Settings\6.pif
%HomeDrive%\Documents and Settings\9.pif
%HomeDrive%\Documents and Settings\10.pif
%ProgramFiles%\Common Files\PushWare\Uninst.exe
%ProgramFiles%\Common Files\PushWare\cpush.dll
%ProgramFiles%\eff.pif
%ProgramFiles%\zzToolBar\IP.dat
%ProgramFiles%\zzToolBar\SearchEngineConfig
%ProgramFiles%\zzToolBar\Uninstall.exe
%ProgramFiles%\zzToolBar\uISGRLFile.dat
%ProgramFiles%\zzToolBar\ToolBand.dll
%ProgramFiles%\zzToolBar\Toolbar_bho.dll
%HomeDrive%\h.pif
%HomeDrive%\tttmm.tep
%HomeDrive%\HVVP.PIF
(3) 删除注册表中病毒添加的项
a． 将%Windir%\regedit.exe更改名称为**.exe。
b． 删除注册表下列各项
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]主键。
[KLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
项：internetnet
值：c:\windows\system32\wuauclt.exe
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects ]
项：CAdLogic Object
值：c:\program files\common files\pushware\cpush0.dll
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects ]
项：Info cache
值：c:\windows\kler\pbhealth.dll
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects ]
项：网站排名工具条BHO网站排名工具条
值：c:\program files\zztoolbar\toolbar_bho.dll
[HKLM\Software\Microsoft\Internet Explorer\Toolbar]
项：toolband.dll
值： c:\program files\zztoolbar\toolband.dll
c． 添加下列注册表项
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\@]
键值: 字符串: "DiskDrive"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\@]
键值: 字符串: "DiskDrive"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\@]
键值: 字符串: "DiskDrive"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\@]
键值: 字符串: "DiskDrive"
(4) 恢复原系统文件
从干净的系统中拷贝以下文件：
%System32%\dllcache\wuauclt.exe
%System32%\wuauclt.exe