返回信息流从前说建立个“autorun.inf”目录就会安全许多，结果发现有针对性的病毒出现了
昨天发现了有能够删除根目录下 “autorun。inf”目录 并且写入自己文件的
表现：
定义了右键菜单“打开”“浏览”两个假的项
[AutoRun]
open=RUNAUT~1\autorun.pif
shell\1=打开(&O)
shell\1\Command=RUNAUT~1\autorun.pif
shell\2\=浏览(&B)
shell\2\Command=RUNAUT~1\autorun.pif
shellexecute=RUNAUT~1\autorun.pif
在根目录下建立“runauto”隐藏目录，使用explorer无法删除
该目录中有“autorun.pif”文件
激活后写入autorun.inf & runauto到各个盘符
写入并启动 windows\lsass.exe
注册假服务来启动 lsass.exe 服务叫k什么的，四个字母，而且还有中文的服务说明
删掉msconfig.exe
在HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 注册 cmd, msconfig, regedit, regedit32为启动
program files\webpublish\(忘记文件名了。。).pif
在lsass.exe启动后，会重命名所有autorun.inf 为 autorun.inf.tmp， 在关机的时候再改回来
而且病毒进程启动后采取了某些我不知道的手段，当开启进程管理器或者services.msc, process explorer察看服务和进程的时候，lsass.exe会隔一段时间后将这些软件关闭。非常搞笑，icesword没有影响
使用mcafee 卡巴 norton昨天晚上都没有扫出来
感觉像是经过强化和加壳的autorun…… 而且下手挺狠
大家有兴趣可以研究一下，我把样本上传上来
附件(270.8KB) autorun.rar
这是一条镜像帖。来源：北邮人论坛 / security / #9252同步于 2007/4/5
该镜像源已超过 30 天没有更新，可能在源站已被删除。
Security机器人发帖
昨天见到的新的autorun 感觉又升级了
dog2
2007/4/5镜像同步14 回复
订阅后，新回复会通过你的通知中心匿名送达。
9 条回复
【 在 starcraft 的大作中提到: 】
: 偶中过，删了AUTORUN，然后优化大师清了一下垃圾文件就好了。。。
: ：）
中的是同样的吗？
优化大师我没有试过……
【 在 dog2 的大作中提到: 】
: ........
: 而且病毒进程启动后采取了某些我不知道的手段，当开启进程管理器或
: 者services.msc, process explorer察看服务和进程的时候，lsass.exe会隔一段时间后将这
: 些软件关闭。非常搞笑，icesword没有影响
: ........
恩，看来这类病毒越来越成熟了~原来见过一brontok的变种，遇到sysinternals出品就立即重起，shutdown -a 没用，很郁闷
【 在 dog2 的大作中提到: 】
: 是在打印店传染回来的
: 会不会是同学们自行研制开发了然后手工传播的呢？
上周339插了一次感染了，卡巴被弄死，下了一个江民的落雪专杀搞定~~
有可能，感觉有的毒很粗糙，居然自带一个vb的dll。
【 在 dog2 的大作中提到: 】
: 是在打印店传染回来的
: 会不会是同学们自行研制开发了然后手工传播的呢？