这个病毒前段时间刚写过..
http://forum.ikaka.com/topic.asp?board=28&artid=8202647

结果变种不断出...汗..U盘还真可怜..

这个变种 更可爱了..替换掉系统文件..

瑞星报 Worm.Suser.a 蠕虫..报得太离谱了..

运行样本后..
释放文件
C:\WINDOWS\BACKINF.TAB
C:\WINDOWS\Session.exe
C:\WINDOWS\svchost.exe
C:\WINDOWS\system32\FileKan.exe
C:\WINDOWS\system32\SocksA.exe
C:\WINDOWS\ufdata2000.log
%Temp%下释放两个随机名的临时文件(*.tmp)
替换掉系统文件 C:\WINDOWS\system32\mmc.exe (大小为61440字节.正常的应该是814592字节)

释放每个盘符下
AUTORUN.INF
tel.xls.exe

注册表添加
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[ASocksrv]SocksA.exe{0x00}{0x00}{0x00}{0x00}{0x00}

添加服务
[Smart Card Supervisor / mmc]
<C:\WINDOWS\system32\mmc.exe><N/A>*/

删除隐藏文件键值
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

访问本地 127.0.0.1

清除方法:
1.Ctrl + Alt + Del 打开任务管理器
结束应用程序 kill 
结束进程 mmc.exe

2.删除添加的注册表以及服务
http://www.kztechs.com/sreng/sreng2.zip
下载 SREng 解压 运行-启动项目-注册表-删除
<ASocksrv><SocksA.exe> [1]

启动项目-服务-WIN32 应用程序
找到 [Smart Card Supervisor / mmc]
<C:\WINDOWS\system32\mmc.exe><N/A>  删除...

3.利用压缩工具 WINRAR 删除文件
C:\WINDOWS\BACKINF.TAB
C:\WINDOWS\Session.exe
C:\WINDOWS\svchost.exe
C:\WINDOWS\system32\FileKan.exe
C:\WINDOWS\system32\SocksA.exe
C:\WINDOWS\ufdata2000.log
C:\WINDOWS\system32\mmc.exe

还有每个盘符下的
AUTORUN.INF
tel.xls.exe

3.恢复显示隐藏文件功能
http://mopery.hits.io/yincang.zip
下载 解压 双击 不能显示隐藏文件.reg 导入即可..

4.去正常系统中复制一个 C:\WINDOWS\system32\mmc.exe 到本机..



好友的博客中有更为具体的分析
http://hi.baidu.com/hzqedison/blog/item/531e918f972d56fa513d92bb.html

学习！

已阅，写的真及时！
好好学习学习，谢谢啦！要注意休息哦……

学习

学习~``

请问Windows\Temp\71139.exe和Windows\system32\scanft.dll这两个是病毒吗？用瑞星查不出来，但是我用木马专家就查出来了，其中第一个删除不掉，第二删除后又会自动出现，我该怎么办？

是觉得怪,正常微软的文件后面怎么没有Microsoft Corporation,开始还以为是我把路径记错了,后来到system32下看了下,这个路径没错,至于是替换,还没想到(很保守的说了句:这个文件不用删除).

到服务又看了下有个"Smart Card"的服务,但是可执行文件路径又不对,比这个

[Windows User Mode Driver Framework / UMWdf]
  <C:\WINDOWS\system32\wdfmgr.exe><Microsoft Corporation>

还不会忽悠人.

1

引用:

释放文件 C:\WINDOWS\BACKINF.TAB C:\WINDOWS\Session.exe C:\WINDOWS\svchost.exe C:\WINDOWS\system32\FileKan.exe C:\WINDOWS\system32\SocksA.exe C:\WINDOWS\ufdata2000.log

汗。。怎么偶的沙箱都没。。晕了晕了，我的正常文件mmc.exe变成隐藏属性了，但是MD5值却没改动。。。诡异啊

学习