遭遇Worm.UsbSpy.a/Worm.Win32.Delf.aj

endurer　原创

2006-09-12 第1版

有一位朋友，他把移动硬盘接到电脑上使用，上午还正常，但下午用时则有数据保护的出错提示信息。

该朋友电脑使用的是Win XP SP2，因未联网，所以不能从网上下载 HijackThis 等软件来分析。

打任务管理器，发现一个名为wincfgs.exe的进程，图标为一个黄色问号，十分可疑，终止了。

打开命令提示符窗口搜索文件：
/------------
C:/Documents and Settings/user>attrib /wincfgs*.* /s
   SHR     C:/Windows/system32/wincfgs.exe
------------/
文件在C:/Windows/system32中，具有系统、隐藏、只读属性，用WinRAR打包备份后删除。

打开注册表编辑器，搜索包含“wincfgs”的项目，发现
/------------
[HKEY_CURRENT_USER/Software/Microsoft/Windows NT/CurrentVersion/Windows]
"load"="C://windows//system32//wincfgs.exe"
------------/

再检查移动硬盘，在根目录下发现autorun.inf。文件内容如下：
/----------
[autorun]
open=./RECYCLER/RECYCLER/autorun.exe

shell/1=Open
shell/1/Command=./RECYCLER/RECYCLER/autorun.exe
shell/2/=Browser
shell/2/Command=./RECYCLER/RECYCLER/autorun.exe

shellexecute=./RECYCLER/RECYCLER/autorun.exe
----------/
居然有个文件autorun.exe藏在回收站里。
用fc命令比较，autorun.exe 与 前面发现的wincfgs.exe完全相同。

瑞星报为 Worm.UsbSpy.a。

 STATUS: FINISHED

Complete scanning result of "wincfgs.exe", received in VirusTotal at 09.12.2006, 06:40:13 (CET).

Antivirus	Version	Update	Result
AntiVir	7.1.1.16	09.11.2006	Worm/Delf.AJ.1
Authentium	4.93.8	09.11.2006	W32/Sillyworm.RE
Avast	4.7.844.0	09.11.2006	Win32:Delf-AQT
AVG	386	09.11.2006	Worm/Delf.GW
BitDefender	7.2	09.12.2006	Trojan.Agent.AAE
CAT-QuickHeal	8.00	09.11.2006	Worm.Delf.aj
ClamAV	devel-20060426	09.12.2006	Worm.Delf-21
DrWeb	4.33	09.11.2006	Trojan.MulDrop.3780
eTrust-InoculateIT	23.72.122	09.12.2006	Win32/USBSpy.1pk!Trojan
eTrust-Vet	30.3.3071	09.11.2006	Win32/Bypuss.A
Ewido	4.0	09.11.2006	Worm.Delf.aj
Fortinet	2.77.0.0	09.11.2006	W32/Delf.AJ!worm
F-Prot	3.16f	09.11.2006	W32/Sillyworm.RE
F-Prot4	4.2.1.29	09.11.2006	W32/Sillyworm.RE
Ikarus	0.2.65.0	09.11.2006	no virus found
Kaspersky	4.0.2.24	09.12.2006	Worm.Win32.Delf.aj
McAfee	4849	09.11.2006	Generic MultiDropper.b
Microsoft	1.1560	09.12.2006	no virus found
NOD32v2	1.1750	09.11.2006	Win32/Delf.AJ
Norman	5.90.23	09.11.2006	W32/Delf.OMO
Panda	9.0.0.4	09.11.2006	Adware/Look2Me
Sophos	4.09.0	09.11.2006	W32/Delf-CRK
Symantec	8.0	09.12.2006	no virus found
TheHacker	5.9.8.209	09.11.2006	W32/Delf.aj
UNA	1.83	09.11.2006	Worm.Win32.Delf
VBA32	3.11.1	09.12.2006	Worm.Win32.Delf.aj
VirusBuster	4.3.7:9	09.11.2006	Worm.Delf.AZX

Aditional Information

File size: 47104 bytes

MD5: 07adddef653a702b9a11edbcee07e82b

SHA1: 97729f6df1cd96b61e3e2bc1a841adf1720e2ec5