U盘蠕虫Worm.Win32.HyeKyo.a(smss.exe)分析_解决方案

该样本是使用“VB”编写的蠕虫程序，由微点主动防御软件自动捕获，采用“UPX”加壳方式试图躲避特征码扫描，加壳后长度为“81,408字节”，图标为，病毒扩展名为“exe”，主要通过“文件夹伪装”、“移动存储介质”的方式传播，中毒后的计算机在开启隐藏文件显示后，会给人一种同目录出现两个同名文件夹的错觉，导致用户错误拷贝，传播病毒。

病毒分析
该样本程序被执行后，拷贝自身到“C:\Config”目录下，重命名为“smss.exe”；创建“C:\Full House”目录，并在该目录下释放图片文件“FullHouse.jpg”，该图片为著名韩国影星“宋慧乔”。
修改如下注册表健值以达到病毒目的：隐藏exe文件扩展名，向系统注册名为“Full House”的文件夹，并采用病毒文件C:\Taskmgr.exe的图标，当双击“Full House”文件夹时运行病毒程序C:\Taskmgr.exe，在“我的电脑”和“控制面板”中显示文件夹“Full House”。

Quote:

项：HKCR\exefile\
健值：NeverShowExt
指向数据
项：HKCR\CLSID\{00020D75-0000-0000-C000-0000000000AA}\
健值：默认
指向数据：Full House
项：HKCR\CLSID\{00020D75-0000-0000-C000-0000000000AA}\DefaultIcon\
健值：默认
指向数据：C:\Taskmgr.exe
项：HKCR\ CLSID\{00020D75-0000-0000-C000-0000000000AA}\Shell\Open\Command
健值：默认
指向数据：C:\Taskmgr.exe
项：HKLM\ SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace\{00020D75-0000-0000-C000-0000000000AA}\
健值：默认
指向数据：
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ControlPanel\NameSpace\{00020D75-0000-0000-C000-0000000000AA}\
健值：默认
指向数据：

枚举盘符在系统盘符中释放隐藏病毒文件Taskmgr.exe和autorun.inf，使用Windows自动播放功能来传播病毒；枚举盘符在移动存储介质中新建与所有文件夹同名的病毒文件拷贝；当用户触发系统盘或移动存储介质中的病毒文件时，病毒判断当前所处的盘符，如果是系统盘则以命令行的方式Explorer.exe C:\Full House\FullHouse.jpg，否则会显示与病毒文件同名的文件夹中的内容。

安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理；

　如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Worm.Win32.HyeKyo.a”，请直接选择删除。

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
4、开启windows自动更新，及时打好漏洞补丁。