病毒名称： Worm.Win32.Delf.be

病毒类型： 蠕虫

文件 MD5： 553871DF5F107D69169AC27D0E8E8811

公开范围： 完全公开

危害等级： 3

文件长度： 23,040 字节

感染系统： windows98以上版本

开发工具： Borland Delphi 6.0 - 7.0

加壳类型： 无

命名对照： 驱逐舰[Trojan.DownLoader.14980]

BitDefender [Trojan.ShellReg]

病毒描述：

该病毒属蠕虫类，病毒运行后衍生病毒文件到%windir%、%system32%下，修改注册表，添加启动项，以达到随机启动的目的。病毒分别复制自身到D、E、F盘根目录下并命名为update.exe，同时创建文件AutoRun.inf，用来启动update.exe程序。弹出广告页。病毒会尝试终止瑞星杀毒软件与windows防火墙。

行为分析：

1、病毒运行后衍生病毒文件：

%WINDOWS%\\cmd.com

%WINDOWS%\\svchost.com

%WINDOWS%\\?exe

%system32%\\wuaucll.exe

2、病毒分别复制自身到D、E、F盘根目录下并命名为update.exe，同时创建文件AutoRun.inf。

3、修改注册表，添加启动项，以达到随机启动的目的：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\

新建键值: 字串: "Shell"="Explorer.exe ?exe"

原键值: 字串: "Shell"="Explorer.exe"

4、病毒会尝试终止瑞星杀毒软件与windows防火墙：

net stop ravmon

net stop alg

5、弹出广告页：

http://myad.91ivr.com/f1.html?seo=2916

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDOWS%\\cmd.com

%WINDOWS%\\svchost.com

%WINDOWS%\\?exe

%system32%\\wuaucll.exe

D、E、F盘根目录：

update.exe

AutoRun.inf

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\

新建键值: 字串: "Shell"="Explorer.exe ?exe"

原键值: 字串: "Shell"="Explorer.exe"