USB間諜變種a”（Worm.UsbSpy.a）蠕蟲病毒，利用USB盤、移動硬碟、mp3機等移動設備進行傳播，當用戶插入移動設備時，病毒感染相關的移動設備。
基本介紹
- 外文名：worm.davs.a
- 別名：Worm.Win32.QQPass.e
- 檔案長度：16,948 位元組
- 公開範圍：完全公開
- 病毒類型：蠕蟲類
- 檔案MD5：87B658111C0D2E26D04ECA66B89BE0A4
- 危害等級：4
- 感染系統：Windows98以上版本
- 開發工具：orland Delphi 6.0 - 7.0
- 加殼類型：UPX 0.89.6 - 1.02 / 1.05 - 1.24
病毒描述,行為分析,
病毒描述
該病毒為木蠕蟲類，病毒運行後複製自身到系統目錄，衍生病毒檔案。 修改
註冊表，添加啟動項，以達到隨機啟動的目的。NewTemp.dll插入EXPLORER.EXE
進程中，並以EXPLORER.EXE進程連線網路下載病毒檔案。該病毒可盜取用戶的帳
號密碼等敏感信息。
行為分析
本地行為：
1、檔案運行後會衍生以下檔案：
%DriveLetter%\autorun.inf 100 位元組
%DriveLetter%\PegeFile.pif 16,948位元組
%Program Files%\Internet Explorer
\PLUGINS\NewTemp.bak 16,948位元組
%Program Files%\Internet Explorer
\PLUGINS\NewTemp.dll 10,804位元組
2、新建註冊表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{0EA66AD2-CF26-2E23-532B-B292E22F3266}
\InProcServer32]
註冊表值："{0EA66AD2-CF26-2E23-532B-B292E22F3266}"
類型： REG_SZ
值： ""
描述：添加啟動項，以達到隨機啟動的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Explorer
\ShellExecuteHooks]
註冊表值："@"
類型： REG_SZ
值： "C:\Program Files\Internet Explorer
\PLUGINS\NewTemp.dll"
描述：添加啟動項，以達到隨機啟動的目的
3、將NewTemp.dll插入到EXPLORER.EXE進程和應用程式進程中.
4、該病毒在驅動器的各個盤符下創建啟動檔案autorun.inf和該啟動檔案對應的執行檔案，在用戶雙擊打開盤符時便會啟動病毒程式。
註：
%System32% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System資料夾的位置。
%Windir% WINDODWS所在目錄
%DriveLetter% 邏輯驅動器根目錄
