本周一个通过MSN以及U盘传播的病毒走进了我们的视线。

客服中心接到毒霸用户反馈自己在MSN上聊天后发现电脑无法关机，提示被限制。如图所示：

限制关机.PNG (7.37 KB)

2008-8-31 13:44

强行关机重启后发现关机按钮消失，注册表编辑器、任务管理器打不开等。

regedit.PNG (6.94 KB)

2008-8-31 13:44

taskmgr.PNG (6.96 KB)

2008-8-31 13:44

病毒简单分析：
病毒监视可移动存储介质并向其写入Autorun文件，文件内容格式如下(不一定完全一致)：

引用:

[autorun]
open=RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exe
shell\open\default=1

U盘图标被Autorun.inf定义为文件夹样式：

Upanpanfu.PNG (35.12 KB)

2008-8-31 13:46

创建启动项并以隐藏进程运行：

引用:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
   crypt
crypts.dll
c:\windows\system32\crypts.dll

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   Symantec Control Client
symclisvc.exe
NEW PHOTO
(Not verified) Adobe PhotoShop CS3 Product
1.03.0023.0000
c:\windows\system32\symclisvc.exe
   Symantec Control Client
symconfig.exe
NEW PHOTO
(Not verified) Adobe PhotoShop CS3 Product
1.03.0023.0000
c:\windows\system32\symconfig.exe

通过注册表限制用户关闭计算机：

关闭计算机.PNG (17.02 KB)

2008-8-31 13:44

以图片形式通过Msn传播：

zip.PNG (6.86 KB)

2008-8-31 13:44

在虚拟环境下不运行，且劫持杀软、百度乃至毒霸论坛的域名。
hosts.txt (7.2 KB)

hosts.txt (7.2 KB)
下载次数: 229

2008-8-31 13:44

注：病毒插入了多个换行以误导用户认为hosts文件不存在域名劫持。

处理意见：
1.及时升级杀毒软件进行病毒防护与处理。
2.使用IM聊天工具时不点击来历不明的文件。
3.禁止可移动存储介质的自动播放功能。

[ 本帖最后由 papa 于 2008-8-31 13:57 编辑 ]

了解一下  基本上不用msn 号码相关的资料都快忘记了

不会吧，又是MSN引发的病毒？还好最近没上MSN！

学习了

还好遇到过,呵呵,也下次碰到时了用得到,先记下了先

还好不太用，学习了

这个案例的防范关键是：

1、禁止AUTORUN；

2、IM下载文件的即时查毒。

第一项设置靠清理专家；

第二项就是IM软体和杀毒软体的兼容问题了~

我的电脑已经感染了这种病毒，请问现在怎么解决呢？任务管理器被禁用，注册表编辑器被禁用，安全模式被损坏，现在怎么办啊？请给予指导，谢谢！

请高手指点，我的一些联系方式
E-mail:salewiremesh.anping@gmail.com  
msn： wiremeshexpert1@hotmail.com
skype：wwliang01
QQ:475672663

现在已经很少使用msn呢

学习一下.真的很好.谢啦.