病毒名称： Email-Worm.Win32.Runouce.b
病毒类型： 邮件蠕虫类
公开范围： 完全公开
感染系统： Windows98以上版本
 
病毒描述：
该病毒为蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件，使用bat批处理删除原文件。 修改注册表，并创建服务项,以达到随机启动的目的。该病毒会发送大量的病毒邮件，使本机与网络资源被大量占用，甚至会造成死机现象发生。
 
 本地行为：
1、文件运行后会衍生以下文件：
%DriveLetter%\auto.exe 23,493 字节
%DriveLetter%\autorun.inf  78 字节
%Program Files%\NetMeeting\readme.eml 4,882 字节
%System32%\145E5540.EXE  23,493 字节
%System32%\2B4295C.DLL 10,834 字节
%System32%\delme.bat 291 字节
%System32%\runouce.exe 10,748 字节

2、新建注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值：" Runonce"
类型： REG_SZ
值： " C:\WINDOWS\system32\runouce.exe "
描述：添加启动项，以达到随机启动的目的

3、创建服务，并以服务的方式达到随机启动的目的：
服务名称：AEA69184
显示名称：AEA69184
描述语言：2B4295C
文件路径：C:\WINDOWS\system32\145E5540.EXE -k
启动方式：自动

4、将2B4295C.DLL插入到EXPLORER.EXE进程和其它相关进程中。

5、通过信使服务，从本机向工作组其它成员发送消息：
My god! Some one killed chinexe-Hacker-2 Monitor

6、搜索本地邮件地址，并自动发送大量病毒邮件，使本机计算机资源耗尽，CPU占用率为100%；占用大量网络资源，使网络速度明显变慢。

清除方案：
1 、使用安天防线2008可彻底清除此病毒(推荐)，

2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)“进程管理”关闭病毒的runouce.exe进程：卸载插入的2B4295C.DLL模块。
(2)强行删除病毒文件：
%DriveLetter%\auto.exe 23,493 字节
%DriveLetter%\autorun.inf 78 字节
%Program Files%\NetMeeting\readme.eml 4,882 字节
%System32%\145E5540.EXE 23,493 字节
%System32%\2B4295C.DLL 10,834 字节
%System32%\delme.bat 291 字节
%System32%\runouce.exe 10,748 字节
(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run]
注册表值：" Runonce"
类型： REG_SZ
值： " C:\WINDOWS\system32\runouce.exe "
(4) 禁用服务项AEA69184。