病毒描述：

这是一个由VBS脚本编写的恶意蠕虫病毒，加密和自我变形，并通过U盘传播。

病毒行为：

1，自变形

该病毒首先得到病毒的解密功能通过执行StrReverse（）函数。


解密代码如下所示：


这个代码读取脚本文件的注释和解密。


解密后的病毒，病毒再生的关键，加密病毒代码，然后复制它。

所以每次病毒运行后，病毒的含量与病毒在运行前完全不同。

2。自我复制

病毒会通过不同的磁盘写autorun.inf和.vbs文件到根目录。当用户双击并打开磁盘时，它们将触发运行的病毒文件。

病毒会复制系统的wｓｃｒｉｐｔ.exe C： Windows 系统 vchost.exe

如果是FAT格式，病毒将自身拷贝到C： Windows System32，和文件名为随机数。

如果是NTFS格式，病毒将通过NTFS文件流附加到下面的文件中。

C： Windows explorer.exe

C： Windows System32 smss.exe





三.更改登记表格

病毒修改以下注册表键值，点其核心价值的病毒文件，当用户运行INF，bat，cmd，REG、CHM、HLP文件，打开Internet Explorer，或双击我的电脑图标，它会触发病毒文件运行。


该病毒还修改了以下注册表键值，使在文件夹选项中；显示隐藏文件选项无效。


该病毒移除以下键值来分解叠加在快捷图标上的小箭头。


病毒修改下列注册表键值并打开所有磁盘的自动运行特性。


病毒修改了以下键值，以便病毒可以从开始开始


4。遍历文件夹

该病毒会递归地遍历每个磁盘的文件夹，当遍历文件夹，该文件夹将被设置为隐藏+系统+只读的性能。同时创建一个快捷方式，其目标指向vbs脚本，和参数指向一个文件夹是隐藏的病毒。

由于对病毒注册表的修改，查看隐藏文件的选项无效，它也屏蔽了快捷图标的小箭头，因此有很大的混乱，这使用户误以为文件夹已打开。

5。关闭弹出驱动器

在月和日都是平等的系统日期（例如，1月1日，2月2日，&hellip，&hellip，等等），当病毒被激活时，它会打开和关闭每10秒。CD-ROM驱动器的数量是由当月的决定（例如，在1月1日，每一次病毒被激活时，它会打开和关闭光驱的1倍。在2月2日，每当病毒被激活时，它就会打开并关闭CD-ROM 2次）。

6、将mstha.exe显示下面的图片，并锁定计算机，用户不能操作。


7，遍历过程。如果你找到REGEDIT.EXE，taskmgr.exe等过程，叫NTSD命令来完成这一过程，让用户无法打开注册表编辑器，任务管理器和其他系统的基本工具。

杀毒方法：

首先，使用工具来结束所有的wｓｃｒｉｐｔ.exe在C的路径： Windows 系统 vchost.exe过程。

命令行下运行regedit，运行删除命令删除脚本文件。

使用NTFS文件流相关的工具来删除文件流附加到explorer.exe和smss.exe。

文件关联修复程序用于修复已被病毒修改的文件关联。

删除autorun.inf和VBS脚本在每个磁盘根目录下的文件。

针对这种病毒，病毒文件路径和创建自启动模式相当复杂，建议使用杀毒软件自动查杀。