安天CERT：高喜宝
一、 病毒标签：
病毒名称： Trojan-Spy.Win32.Delf.uv
病毒类型： ***
文件 MD5： AEB1EC3571803651FB644C73C4521BD5
公开范围： 完全公开
危害等级： 4
文件长度： 12,683 字节
感染系统： Windows98以上版本
开发工具： Borland Delphi
加壳类型： Upack 0.3.9 beta2s
命名对照：   AVG [PSW.OnlineGames.FQT]
Mcafee [PWS-OnlineGames.f]
二、 病毒描述：
该病毒属***类，病毒运行后衍生病毒文件到系统目录system32下，并删除自身；修改注册表，创建CLSID组件建值，以达到将病毒衍生的DLL文件 在开机时注入explorer.exe中的目的；新建注册表键值，用以屏蔽windows自动更新按钮；该病毒可以收集用户信息，发送到指定服务器。
三、 行为分析：
本地行为:
1、病毒运行后衍生病毒文件到系统目录下：
%system32%\mydini.dll
%system32%myeins.exe
%system32%myepri.dll
2、病毒利用DAT文件删除自身。
3、新建注册表键：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5562452F-FA36-BA4F-892A-FF5FBBAC5315}\InprocServer32]
注册表键："@"
注册表值："C:\WINDOWS\system32\myepri.dll"
描述：新建CLSID组件键值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
注册表键："{5562452F-FA36-BA4F-892A-FF5FBBAC5315}"
注册表值： "myepri.dll"
描述：将myepri.dll注入到系统进程explorer.exe中，可达到随机启动的目的。
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
注册表键："AUOptions"
类型：DWORD
注册表值：1 (0x1)
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
注册表键："NoAutoUpdate"
类型：DWORD
注册表值：1 (0x1)
描述：屏蔽windows自动更新按钮
4、病毒衍生的文件myepri.dll插入到系统进程explorer.exe中。
网络行为:　　
1、利用send函数将收集到的用户信息发送到指定服务器：
IP地址：219.133.63.142
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路 径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中 默认的安装路径是C:\Windows\System32。
%Temp%   = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
     %Windir%\       WINDODWS所在目录
%DriveLetter%\    逻辑驱动器根目录
%ProgramFiles%\    系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录
四、 清除方案：
1、使用安天***防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
         (1) 使用安天***防线“进程管理”关闭病毒进程
    myeins.exe
    使用安天***防线“进程管理”结束explorer.exe中的myepri.dll
         (2) 删除病毒文件
%system32%\mydini.dll
%system32%myeins.exe
%system32%myepri.dll
         (3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5562452F-FA36-BA4F-892A-FF5FBBAC5315}\InprocServer32]
注册表键："@"
注册表值："C:\WINDOWS\system32\myepri.dll"
描述：新建CLSID组件键值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
注册表键："{5562452F-FA36-BA4F-892A-FF5FBBAC5315}"
注册表值： "myepri.dll"
描述：将myepri.dll注入到系统进程explorer.exe中，可达到随机启动的目的。
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
注册表键："AUOptions"
类型：DWORD
注册表值：1 (0x1)
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
注册表键："NoAutoUpdate"
类型：DWORD
注册表值：1 (0x1)
描述：屏蔽windows自动更新按钮