【IT168 专稿】该样本是使用“VC”编写的蠕虫病毒，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“45,056”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“移动存储介质”等方式传播，病毒主要目的为下载大量病毒并运行。
 
    用户中毒后，会出现大多数杀毒软件退出或失效，系统运行缓慢，Windows无故报错等现象。

    （1）设置自身属性为隐藏，查找AUTORUN.INF文件是否存在，若没找到，设置下次系统重启删除自身。
 
    （2）创建互斥，防止多次运行，提升自身进程权限为SeDebugPrivilege。

    （3）遍历进程快照，试图强行终止ekrn.exe、egui.exe、nod32krn.exe、nod32gui.exe四个进程，并删除ekrn和nod32krn服务。

    （4）释放动态链接库%SystemDriver%\dap.dll,并设置其为隐藏。

    （5）获得进程快照，查找是否有进程CCenter.exe,若找到,释放脚本文件%SystemRoot%\Fonts\lsnvvs.vbs,通过执行该脚本调用rundll32.exe程序加载动态链接库dap.dll。若没找到，则直接通过rundll32.exe程序加载。

    （6）去掉驱动文件%SystemRoot%\system32\drivers\asyncmac.sys的文件保护属性,之后，病毒用自己的AsyncMac.sys替换掉该驱动文件，并加载驱动，创建服务,恢复SSDT,完成后，病毒删除asyncmac.sys和lsnvvs.vbs。

    （7）释放动态链接库文件%TEMP%\dll2.tmp(数字部分随机生成)，并加载。
 
    （8）创建线程,遍历当前进程列表，检测绝大多数安全软件，如果找到，利用终止进程和卸载服务的方式，使绝大多数安全类软件失效。

    （9）通过修改注册表，使用户无法进入安全模式、网络安全模式；通过删除注册表启动项，使部分杀毒软件无法开机自启动，下载大量病毒并运行。

    （10）删除%SystemDriver%\dap.dll。

    （11）创建线程,查找文件%SystemRoot%\system32\dllcache\linkinfo.dll是否存在，如果存在，退出当前线程，如果不存在，从系统目录下拷贝一份到%SystemRoot%\system32\dllcache\linkinfo.dll，并将%SystemRoot%\system32\linkinfo.dll文件映射到内存，释放驱动文件%SystemRoot%\fonts\safeg.sys，创建服务，并加载，修改文件%SystemRoot%\system32\linkinfo.dll,完成后删除safeg.sys。
 
    （12）创建线程,检测当前系统进程列表中是否有360反病毒软件的相关进程，如果找到，释放驱动文件%SystemRoot%\Fonts\safeme.sys，创建服务并加载，结束360相关进程，之后病毒会全盘搜索360反病毒软件和卡巴斯基的安装路径，如果找到，通过发送设备控制码的方式使这两款反病毒软件设备加载失败,完成之后删除驱动文件safeme.sys。

    （13）创建线程, 对avp.exe映像劫持, 释放驱动%SystemRoot%\Fonts\dansl.sys，创建服务并加载，结束avp.exe相关进程，完成后删除驱动文件dansl.sys。

    （14）创建线程,遍历磁盘，释放RFR.PIF和AutoRun.INF文件，以达到自动运行病毒的目的。

    病毒创建文件：

    %SystemDriver%\dap.dll
    %SystemRoot%\Fonts\lsnvvs.vbs
    %SystemRoot%\system32\drivers\asyncmac.sys 
    %TEMP%\dll2.tmp
    %SystemRoot%\fonts\safeg.sys
    %SystemRoot%\Fonts\safeme.sys
    %SystemRoot%\Fonts\dansl.sys
    X:\RFR.PIF
    X:\AutoRun.INF (X为任意盘符)

    病毒修改文件：

    %SystemRoot%\system32\linkinfo.dll

    病毒删除文件：
　　
    %SystemDriver%\dap.dll
    %SystemRoot%\Fonts\lsnvvs.vbs
    %SystemRoot%\system32\drivers\asyncmac.sys
    %SystemRoot%\fonts\safeg.sys 
    %SystemRoot%\Fonts\safeme.sys
    %SystemRoot%\Fonts\dansl.sys

    病毒创建注册表：
　　
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[映像劫持]
　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asyncmac
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\safeg
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\safeme
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dansl

    病毒删除注册表：

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\[安全软件] 
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asyncmac
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\safeg
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\safeme
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dansl

    病毒访问网络：

    http://aml.**.ma/dd.txt
    http://www.mk***ss.com/w/get.exe
    http://www.mk***ss.com/w/3.exe
    http://www.mk***ss.com/w/7.exe
    http://www.mk***ss.com/w/dn.exe
    http://www.mk***ss.com/w/12.exe
    http://www.mk***ss.com/w/9.exe
    http://www.mk***ss.com/w/ap.exe 
    http://www.mk***ss.com/w/b.css