W32.HLLW.Kilonce 是一种通过开放的共享资源传播的蠕虫。它基于 W32.Nimda 蠕虫，但不具有发送电子邮件的能力。它试图关闭包含字符“KV”或“AV”或名为“Load.exe”的所有进程，并随后删除相关的文件。

病毒资料

网络管理员或 IT 专家提供的信息

防护

威胁评估(广度 损坏 分发 首次运行执行的操作)

建议

注意(一 二 三)

病毒资料

发现： 2002 年 8 月 27 日

更新： 2007 年 2 月 13 日 11:40:50 AM

类型: Worm

感染长度： 39,310 bytes

受感染的系统： Windows 2000, Windows 98, Windows Me, Windows NT, Windows XP

网络管理员或 IT 专家提供的信息

以下信息是为网络管理员或 IT 专家提供的：

* 如果 Guest 帐户意外地出现在 Administrators 组中，应将其删除。

* 如果不需要 Guest 帐户，应将其禁用。

* 应删除不需要的共享。

* 如果远程计算机上的 \\Windows\\Rundll32.exe 文件已重命名为 Run32.exe，应将其重命名回 Rundll32.exe。

警告：以下信息仅供参考，Symantec 安全响应中心不推荐也不对其提供支持：

可以通过该蠕虫自身将其部分杀除。通过运行 Killonce.exe -u，该蠕虫会还原已被其改变的注册表键。

防护

* 病毒定义（每周 LiveUpdate™） 2002 年 8 月 28 日

* 病毒定义（智能更新程序） 2002 年 8 月 28 日

威胁评估

广度

* 广度级别： Low

* 感染数量： 0 - 49

* 站点数量： 0 - 2

* 地理位置分布： Low

* 威胁抑制： Easy

* 清除： Difficult

损坏

* 损坏级别： High

* 有效负载触发器： 13th December in any year

* 删除文件： All deletable files and subdirectories on the C: drive will be deleted when the payload activates.

* 危及安全设置： Guests might be granted Administrator access; unrestricted shares might be created for drives C: - K:

分发

* 分发级别： Low

* 共享驱动器： Copies itself as Rundll32.exe or Regedit.exe across shared drives.

首次运行执行的操作

该蠕虫首次运行时，会检查当前计算机的名称。如果名称不为“YWB”，将执行下列操作：

创建一个线程，该线程枚举所有进程，并关闭名称中包含“KV”或“AV”或名为“LOAD.EXE”的所有进程。关闭进程后，删除相关的文件。

将自身复制为

* C:\\%windir%\\Killonce.exe

* C:\\Recycled\\Killonce.exe

注意：%windir% 是一个变量。蠕虫会找到 Windows 安装文件夹（默认为 C:\\Windows 或 C:\\Winnt），然后将自身复制到其中。

接下来，将改变几个注册表键：

* 在注册表键中

HKEY_CLASSES_ROOT\\exefile\\shell\\open\\command

中，将“（默认）”的“数值数据”更改为

%windir%\\killonce.exe "%1 %*

* 在注册表键

HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command

中，将“（默认）”的“数值数据”更改为

c:\\recycled\\killonce.exe %windir%\otePad %1

该值的原始内容将丢失。

* 在注册表键

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

中，添加值

KillOnce %windir%\\killonce.exe

这会导致蠕虫在每次启动 Windows 时都运行。

将 Guest 帐户添加到 Windows NT/2000/XP 下的 Administrators 组中。

打开 Windows 95/98/Me 中从 C 到 K 的所有硬盘驱动器，将其不受限制地共享。

然后，蠕虫将枚举网络资源。如果它在远程计算机上的 Windows 文件夹下找到 Rundll32.exe 文件，会将其重命名为 Run32.exe，并用自身的副本替换原始文件。如果它在远程计算机上找到 Regedit.exe，会将其重命名为 Regedit.exe.sys，然后用自身的副本替换原始文件。

该蠕虫将重写扩展名为 .eml 或 .nws 的所有文件。被重写的文件将包含该蠕虫的 base64 编码版本。

如果该蠕虫找到任何扩展名为 .doc 的文件，会将其自身复制为 Riched20.dll。

如果该蠕虫找到任何扩展名为 .htm 的文件，会将其自身复制为 Shdocvw.dll

在每年的 12 月 13 日，该蠕虫会用代码重写 Autoexec.bat 以删除 C 驱动器中的所有文件和子文件夹

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

注意

一

以下指导适用于所有当前和最新的 Symantec 防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。

1. 更新病毒定义，然后以安全模式重新启动计算机。

2. 将 Regedit.exe 复制为 Regedit.com。

3. 使用 Regedit.com，撤消对注册表所做的更改。

警告：如果在远程计算机上执行此操作，而另一台受感染计算机已通过网络感染了该远程计算机，则必须首先将 Regedit.exe.sys 重命名回 Regedit.exe。

4. 运行完整的系统扫描，并删除被检测为 W32.HLLW.Kilonce 的所有文件。从干净备份中还原需要的所有已被重写的文件。

有关如何完成此操作的详细信息，请参阅下列指导。

更新病毒定义并以安全模式重新启动：

1. 获得最新的病毒定义。可通过两种方法获得：

* 运行 LiveUpdate，这是获得病毒定义最简便的方法。这些病毒定义经过 Symantec 安全响应中心的全面质量监控检测，如果未遇重大病毒爆发情况，会每周在 LiveUpdate 服务器上发布一次（一般为星期三）。要确定是否可以通过 LiveUpdate 获得解决该威胁的病毒定义，请见本说明顶部的病毒定义 (LiveUpdate) 行。

* 使用“智能更新程序”下载病毒定义。“智能更新程序”病毒定义已经过 Symantec 安全响应中心的全面质量监控检测，会在工作日（周一至周五，美国时间）发布。必须从 Symantec 安全响应中心网站下载病毒定义，并手动进行安装。要确定是否可以通过“智能更新程序”获得解决该威胁的病毒定义，请见本说明顶部的病毒定义（智能更新程序）行。

智能更新程序病毒定义可从这里获得。若要了解如何从赛门铁克安全响应中心下载和安装智能更新程序病毒定义，请单击这里。

2. 以安全模式重新启动计算机。除 Windows NT 外，所有的 Windows 32 位操作系统均可以安全模式重新启动。有关如何完成此操作的指导，请参阅文档：如何以安全模式启动计算机。

将 Regedit.exe 复制为 Regedit.com：

由于蠕虫修改了注册表，使您不能运行 .exe 文件，所以必须首先生成注册表编辑器程序文件的副本，并将其扩展名改成 .com，然后再运行该文件。

警告：如果在远程计算机上执行此操作，而而另一台受感染计算机已通过网络感染了该远程计算机，则必须首先将 Regedit.exe.sys 重命名回 Regedit.exe。

1. 根据您运行的操作系统，执行下面相应的操作：

o Windows 95/98 用户：单击“开始”，指向“程序”，然后单击“MS-DOS 方式”。这将打开 DOS 窗口，提示符为 C:\\WINDOWS\\。转至此部分的步骤 2。

o Windows Me 用户：单击“开始”，指向“程序”，再指向“附件”，然后单击“MS-DOS 方式”。这将打开 DOS 窗口，提示符为 C:\\WINDOWS\\。转至此部分的步骤 2。

o Windows NT/2000 用户：

1. 单击“开始”，然后单击“运行”。

2. 键入下列命令，然后按 Enter 键：

command

DOS 窗口打开。

c. 键入下列命令，然后按 Enter 键：

cd \\winnt

o d. 转至此部分的步骤 2。 Windows XP：

1. 单击“开始”，然后单击“运行”。

2. 键入下列命令，然后按 Enter 键：

command

DOS 窗口打开。

c. 键入下列命令，每键入完一行即按 Enter 键：

cd\\

cd \\windows

d. 继续执行此部分的步骤 2。

2. 键入下列命令，然后按 Enter 键：

copy regedit.exe regedit.com

3. 键入下列命令，然后按 Enter 键：

start regedit.com

注册表编辑器将出现在 DOS 窗口前面。编辑完注册表后，退出注册表编辑器，然后退出 DOS 窗口。

4. 只有在完成上述步骤之后，才可继续进行下一部分“编辑注册表，撤消蠕虫所做的更改”。

二

o 注册表编辑器将出现在 DOS 窗口前面。请在编辑完注册表并关闭注册表编辑器后，关闭 DOS 窗口。

o 成功杀除 W32.HLLW.Kilonce 后，可以删除 Regedit.com 文件。

撤消对注册表所做的更改：

警告：Symantec 强烈建议在更改注册表之前先进行备份。错误地更改注册表可能导致数据永久丢失或文件损坏。应只修改指定的键。有关指导，请参阅文档：如何备份 Windows 注册表。

1. 单击“开始”，然后单击“运行”。“运行”对话框出现。

2. 键入 regedit，然后单击“确定”。注册表编辑器打开。

3. 导航至以下键

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

4. 在右窗格中，删除下列值

KillOnce %windir%\\killonce.exe

5. 导航至以下键并选择该键：

HKEY_CLASSES_ROOT\\exefile\\shell\\open\\command

警告：HKEY_CLASSES_ROOT 键中包含许多引用其他文件扩展名的子键。其中之一是 .exe。更改此扩展名可阻止扩展名为 .exe 的文件运行。请确保是沿着此路径浏览到 \\command 子键的。

修改下图中显示的 HKEY_LOCAL_MACHINE\\Software\\Classes\\exefile\\shell\\open\\command 子键：

<<=== 注意：应修改此键。

6. 双击右窗格中的“（默认）”值。

7. 删除当前值数据，然后键入 "%1" %*（即键入下列字符：引号、百分号、1、引号、空格、百分号、星号）。

三

o 在 Windows 95/98/Me 和 Windows NT 系统中，注册表编辑器会自动在值的两边加上引号。单击“确定”后，“（默认）”值应如下所示：

""%1" %*"

o 在 Windows 2000/XP 系统中，不会显示附加的引号。单击“确定”后，“（默认）”值应如下所示：

"%1" %*

o 在键入正确的数据前，请确保已完全删除 command 键中的所有值数据。如果在键的开头不小心留了一个空格，则尝试运行任何程序文件时都将产生错误消息“Windows 找不到 .exe”。如果出现这种情况，请重新从此文档的开头进行检查，并确保完全删除当前值数据。

8. 导航至以下键并选择该键：

HKEY_CLASSES_ROOT\\txtfile\\shell\\open\\command

9. 双击右窗格中的“（默认）”值。

10. 删除当前的值数据，并将其替换成与您的 Windows 版本和安装对应的正确文本。但是，该值并不是一成不变的。例如，在标准的 Windows 2000 安装中，该值可能为：

%SystemRoot%\\system32\OTEPAD.EXE %1

我们建议您查看安装了相同操作系统且配置相同、但未受感染的计算机上的同一值，或咨询资深的计算机技术人员。

11. 退出注册表编辑器。

扫描和删除受感染文件：

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

* Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。

* 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果检测到有任何文件感染了 W32.HLLW.Kilonce，请单击“删除”。

4. 以正常模式重新启动计算机。从干净备份中还原需要的任何已被重写的文件。

5.

描述者： Peter Ferrie