“eREAD彈彈看”（Win32.Hack.RPolyCrypt.a.36864），這是一個(gè)由AUTO病毒釋放的病毒文件。它會(huì )使系統不斷的彈廣告和下載其他病毒文件。并出現會(huì )自動(dòng)下載電影播放器的電子圖書(shū)。沒(méi)多久，在用戶(hù)桌面上便會(huì )顯示大量網(wǎng)頁(yè)圖標和與病毒文件相關(guān)的快捷方式及文件夾?？傮w來(lái)說(shuō)，此病毒破壞性不強，但其行為卻會(huì )令用戶(hù)深感煩膩。
“AUTO木馬389120”（Win32.Troj.Autorun.389120），這是AUTO病毒。它運行后，會(huì )將自己添加到系統啟動(dòng)項，隨系統開(kāi)機啟動(dòng)。啟動(dòng)后，創(chuàng )建單獨的線(xiàn)程對系統進(jìn)行掃描，如發(fā)現用戶(hù)添加新磁盤(pán)（比如插入U盤(pán)等移動(dòng)存儲設備），就會(huì )把自己復制到新磁盤(pán)上，擴大傳播范圍。
一、“eREAD彈彈看”（Win32.Hack.RPolyCrypt.a.36864） 威脅級別：★★
病毒進(jìn)入系統后，將病毒文件SVSH0ST.EXE釋放到系統盤(pán)的%windows%\system32\目錄下，并迅速運行起來(lái)，同時(shí)在%Program Files%\ppfilm\目錄下還釋放出另一個(gè)病毒文件jfCacheMgr.exe。此處值得注意的是，SVSH0ST.EXE與windows系統進(jìn)程svshost.exe很像，具有一定的欺騙性，但字母均為大寫(xiě)。如用戶(hù)發(fā)現自己系統中有字母為大寫(xiě)的svshost.exe，那很可能就是該病毒文件。
該病毒運行后，會(huì )自動(dòng)打開(kāi)一本電子圖書(shū)，名為“eREAD”。很顯然這只是病毒的掩護體。隨著(zhù)電子圖書(shū)的打開(kāi)，病毒會(huì )自動(dòng)下載PPfilm.exe文件，這其實(shí)是一個(gè)電影播放器。接著(zhù)，系統會(huì )時(shí)而彈出廣告和網(wǎng)頁(yè)，這是最明顯的病毒癥狀。彈出的網(wǎng)頁(yè)是無(wú)法修改大小的，而且頁(yè)面內容走位、無(wú)法調整，隨后自動(dòng)關(guān)閉。
這時(shí)，如果用戶(hù)查看IE瀏覽器，會(huì )發(fā)現自己的默認主頁(yè)已被病毒修改為“http：//www.j**an.com/movies/1/pa**list/0/n**update/1.shtm”，相關(guān)內容是免費電影點(diǎn)播。很明顯，此病毒的性質(zhì)是屬于流氓廣告了。
當用戶(hù)再回到桌面時(shí)，會(huì )發(fā)現在桌面多了許多網(wǎng)頁(yè)圖標、文件夾以及某些軟件的快捷方式，這些是病毒自動(dòng)生成的。只要病毒存在系統越久，生成圖標就會(huì )越多、彈網(wǎng)頁(yè)的頻率也越高。
二、“AUTO木馬389120”（Win32.Troj.Autorun.389120） 威脅級別：★
病毒進(jìn)入用戶(hù)電腦后，在系統盤(pán)的%windows%\system32\目錄下釋放出病毒文件dream.exe和plmmsbl.dll，并在全部的磁盤(pán)分區根目錄下面均生成AUTO病毒文件autorun.inf、sbl.exe。只要用戶(hù)雙擊鼠標左鍵進(jìn)入含毒磁盤(pán)，病毒就會(huì )被激活，而如果在中毒電腦上使用U盤(pán)等移動(dòng)存儲設備，病毒也會(huì )將其感染。
接著(zhù)，病毒修改系統注冊表，把自己的相關(guān)數據添加到啟動(dòng)項，實(shí)現隨系統開(kāi)機啟動(dòng)。當成功啟動(dòng)后，它會(huì )利用之前生成的dream.exe進(jìn)程創(chuàng )建單獨的線(xiàn)程，對系統不斷進(jìn)行掃描，如發(fā)現用戶(hù)添加新磁盤(pán)（比如插入U盤(pán)等移動(dòng)存儲設備），就會(huì )把自己復制到新磁盤(pán)上，擴大傳播范圍。
經(jīng)分析，該毒沒(méi)有明顯破壞行為，但由于采取AUTO病毒自動(dòng)傳播和主文件不間斷搜索的方式進(jìn)行傳染，此病毒感染移動(dòng)存儲器的機率較大，廣大用戶(hù)仍需對其提高警惕。
聯(lián)系客服
