返回信息流查遍注册表，启动项，没发现问题出在哪呀
这是怎么回事？
这是一条镜像帖。来源：北邮人论坛 / security / #2127同步于 2006/6/8
该镜像源已超过 30 天没有更新，可能在源站已被删除。
Security机器人发帖
[求助]启动总是运行记事本
dynastyrider
2006/6/8镜像同步21 回复
订阅后，新回复会通过你的通知中心匿名送达。
9 条回复
用sysinternal出的autorun查查吧，那个比较全
【 在 dynastyrider (王朝骑士) 的大作中提到: 】
: 查遍注册表，启动项，没发现问题出在哪呀
: 这是怎么回事？
一个木马好像.前两天帮别人弄过一次.开机后自动运行一个记事本,任务管理器里有一个KB000001.exe类似这么个进程吧.
百度,搜索,开机,运行记事本,会有很多解决方案,但我没看懂这个木马干啥用..
【 在 dynastyrider (王朝骑士) 的大作中提到: 】
: 查遍注册表，启动项，没发现问题出在哪呀
: 这是怎么回事？
最近几天在一些反病毒论坛中都看到有网友反映同样的问题，即开机开自动打开记事本程序。经过对样本的分析，确认此现象是蠕虫行为，特此提醒广大网友警惕。
这个蠕虫目前绝大多数的主流杀毒软件都可以查杀，请发现此现象的朋友升级杀毒软件进行杀毒！
以下是对此蠕虫做的一些简单分析：蠕虫名称：Worm.Win32.Delf.aj（AVP）
蠕虫别名：Trojan.Spy.UsbSpy.a（瑞星）、TrojanSpy.USBSpy.a（江民）
蠕虫大小：47,104字节
加壳方式：UPX
MD5：07adddef653a702b9a11edbcee07e82b
CRC32：100A382A
发作现象：
电脑开机时会自动弹出记事本，会生成wincfgs.exe、KB20060111.exe等文件
行为分析：
1. 在注册表中创建USBSpyRunMutex互斥量，避免重复感染。
2. 在系统中生成
C:\%system%\wincfgs.exe（系统、隐藏、只读属性）
C:\%WINDOWS%\KB20060111.exe（大小66,560 字节，非病毒，是记事本程序）
3. 在注册表中添加：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
Load ＝“C:\windows\system32\wincfgs.exe”
4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf，在这个目录下生成autorun.exe、desktop.ini。
autorun.inf的内容：
[autorun]
open=.\RECYCLER\RECYCLER\autorun.exe
shell\1=Open
shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe
shell\2\=Browser
shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe
shellexecute=.\RECYCLER\RECYCLER\autorun.exe
autorun.exe同wincfgs.exe
desktop.ini的内容：
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见，当含有病毒的移动设备接入电脑时，蠕虫会被自动运行。
【 在 littleboy (北邮首席宠物...) 的大作中提到: 】
: 一个木马好像.前两天帮别人弄过一次.开机后自动运行一个记事本,任务管理器里有一个KB000001.exe类似这么个进程吧.
: 百度,搜索,开机,运行记事本,会有很多解决方案,但我没看懂这个木马干啥用..
这个病毒做什么用...
【 在 littleboy (北邮首席宠物...) 的大作中提到: 】
: 最近几天在一些反病毒论坛中都看到有网友反映同样的问题，即开机开自动打开记事本程序。经过对样本的分析，确认此现象是蠕虫行为，特此提醒广大网友警惕。
: 这个蠕虫目前绝大多数的主流杀毒软件都可以查杀，请发现此现象的朋友升级杀毒软件进行杀毒！
: 以下是对此蠕虫做的一些简单分析：蠕虫名称：Worm.Win32.Delf.aj（AVP）
: ...................