最近不少用戶反映電腦中了一個(gè)貌似Windows更新程序的病毒，中招后很多殺毒軟件都束手就擒，右下角的殺軟圖標(biāo)都乖乖退出，任由病毒肆意妄為而無(wú)可奈何。唯有綠色大蜘蛛及時(shí)報(bào)警攔截病毒，像一個(gè)鋼鐵戰(zhàn)士忠實(shí)守衛(wèi)在他的陣地上。

現(xiàn)在的病毒制造者愈發(fā)的猖獗和狡猾，不僅病毒破壞力越來(lái)越強(qiáng)，其在掩飾方面也是做足了功夫，此病毒就是將圖標(biāo)偽裝成Windows更新程序并將其命名為update.exe從而騙過(guò)各大網(wǎng)站和網(wǎng)民的眼睛，令其頻頻中招，給本已不平靜的互聯(lián)網(wǎng)又添波瀾。

大蜘蛛提醒廣大用戶：及時(shí)更新病毒庫(kù)，防止中招。

筆者簡(jiǎn)單分析了此病毒的運(yùn)行行為，以供讀者參閱。

病毒樣本圖標(biāo)如下圖：病毒程序及其屬性信息均模仿為Windows更新程序。

1.此病毒運(yùn)行后啟動(dòng)進(jìn)程update.exe，釋放其本身及動(dòng)態(tài)庫(kù)文件到系統(tǒng)路徑下并將屬性設(shè)置為隱藏：

C:WINDOWSsystem32wuauclt1.exe

C:WINDOWSsystem32dllcachewuauclt.exe

C:WINDOWSsystem32w1ninet.dll

C:DOCUME~1ADMINI~1LOCALS~1TempRar$EX01.859update.EXE

2.修改注冊(cè)表導(dǎo)致無(wú)法顯示隱藏文件，從而達(dá)到隱藏本身的目的：

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL 'CheckedValue' = 0x00000002

3.在各個(gè)磁盤根目錄下復(fù)制自身及autorun.inf，用戶每次雙擊打開(kāi)磁盤，都會(huì)調(diào)用aoturun.inf運(yùn)行病毒，同時(shí)復(fù)制病毒自身到U盤，達(dá)到通過(guò)U盤傳播的目的。

4.然后將病毒文件寫入啟動(dòng)項(xiàng)(這是一般病毒的常用技倆，用戶機(jī)器每次啟動(dòng)時(shí)，病毒都會(huì)隨機(jī)啟動(dòng))：

HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun “test”=C:WINDOWSsystem32wuauclt1.exe

5.此病毒將系統(tǒng)時(shí)間調(diào)整為四年前，導(dǎo)致很多殺毒軟件的許可文件失效，無(wú)法實(shí)現(xiàn)掃描功能，因此要遏制此病毒的爆發(fā)還是要依賴于殺毒軟件的監(jiān)控能力。

大蜘蛛監(jiān)控程序在病毒運(yùn)行的第一時(shí)間將其攔截，阻止其運(yùn)行。如下圖：

筆者提醒廣大用戶：Dr.Web大蜘蛛的中文官方網(wǎng)站有為期90天的免費(fèi)試用版下載。下載地址：http://www.drweb.com.cn/Download/DownView2.aspx