Worm.Win32.Delf.be，該病毒屬蠕蟲類，病毒運行後衍生病毒檔案到%windir%、%system32%下，修改註冊表，添加啟動項，以達到隨機啟動的目的。病毒分別複製自身到D、E、F盤根目錄下並命名為update.exe，同時創建檔案AutoRun.inf，用來啟動update.exe程式。彈出廣告頁。病毒會嘗試終止瑞星防毒軟體與windows防火牆。
基本介紹
- 中文名：Worm.Win32.Delf.be
- 檔案長度：23,040位元組
- 感染系統：windows98以上版本
- 開發工具：Borland Delphi 6.0 - 7.0
病毒信息,行為分析,
病毒信息
檔案 MD5： 553871DF5F107D69169AC27D0E8E8811
加殼類型： 無
命名對照： 驅逐艦[Trojan.DownLoader.14980]
BitDefender [Trojan.ShellReg]
病毒描述：
行為分析
1、病毒運行後衍生病毒檔案：
%WINDOWS%\cmd.com
%WINDOWS%\svchost.com
%WINDOWS%\?exe
%system32%\wuaucll.exe
2、病毒分別複製自身到D、E、F盤根目錄下並命名為update.exe，同時創建檔案AutoRun.inf。
3、修改註冊表，添加啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
新建鍵值: 字串: "Shell"="Explorer.exe ?exe"
原鍵值: 字串: "Shell"="Explorer.exe"
4、病毒會嘗試終止瑞星防毒軟體與windows防火牆：
net stop ravmon
net stop alg
5、彈出廣告頁：
http://myad.91ivr.com/f1.html?seo=2916
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒檔案
%WINDOWS%\cmd.com
%WINDOWS%\svchost.com
%WINDOWS%\?exe
%system32%\wuaucll.exe
D、E、F盤根目錄：
update.exe
AutoRun.inf
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
新建鍵值: 字串: "Shell"="Explorer.exe ?exe"
原鍵值: 字串: "Shell"="Explorer.exe"
