陈其苗的博客

病毒名称　TrojanSpy.USBSpy.a
病毒中文名　“USB间谍”变种a
病毒类型　间谍类木马
危险级别　★★★
影响平台　Win 9X/ME/NT/2000/XP
感染对象　
描述　　TrojanSpy.USBSpy.a“USB间谍”变种a是一个由Delphi工具编写，经过UPX加壳，利用USB进行传播的间谍类木马。“USB间谍”变种a

运行后，修改注册表，实现开机自启。

开机弹出记事本问题的解决方案
　　　　在机房上网,极其容易造成因为一个人中毒的原因导致整个局域网都中招的连锁反应,这两天就碰见了一起"轻微"的中毒流行事件.

　　　　不知道从哪天开始,好多人都反应一开机就弹出个无标题的记事本,但是运行msconfig启动项，又没的提示加载记事本,移动硬盘(或优

盘)插到USB口时，点击盘符进入时，也会弹出空白记事本。偶尔系统反应较慢;虽然也不是严重影响系统的进程和运行速度,但老是这样,容易让

人产生不爽的感觉.于是我上网查了下,找出了点门道来.(后面列出的数据大都出自网上:-)).

　　　　 由于这种情况都是在使用了诸如闪盘的移动存储的计算机出现的，所以导致根源应该在闪盘上所存储的文件。这个闪盘可能被感染有

蠕虫病毒，在接入别的计算机上便会使得该计算机出现这种开机弹出无标题的记事本的情况，不过蠕虫病毒至少需要激活，也就是执行一下这

个蠕虫病毒.

[蠕虫简单分析]：

蠕虫名称：Worm.Win32.Delf.aj（AVP）
蠕虫别名：Trojan.Spy.UsbSpy.a（瑞星）、TrojanSpy.USBSpy.a（江民）
蠕虫大小：47,104字节
加壳方式：UPX
MD5：07adddef653a702b9a11edbcee07e82b
CRC32：100A382A

[发作现象]：

电脑开机时会自动弹出记事本，会生成wincfgs.exe、KB20060111.exe等文件

[行为分析]：

1. 在注册表中创建USBSpyRunMutex互斥量，避免重复感染。
2. 在系统中生成
C:%system%wincfgs.exe（系统、隐藏、只读属性）
C:%WINDOWS%KB20060111.exe（大小66,560 字节，非病毒，是记事本程序）
3. 在注册表中添加：
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindowsLoad＝“C:windowssystem32wincfgs.exe”
4. 在移动设备中生成RECYCLERRECYCLER目录和autorun.inf，在这个目录下生成autorun.exe、desktop.ini。

autorun.inf的内容：

[autorun]
open=.RECYCLERRECYCLERautorun.exe

shell1=Open
shell1Command=.RECYCLERRECYCLERautorun.exe
shell2=Browser
shell2Command=.RECYCLERRECYCLERautorun.exe

shellexecute=.RECYCLERRECYCLERautorun.exe

autorun.exe同wincfgs.exe

desktop.ini的内容：

[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}

由此可见，当含有病毒的移动设备接入电脑时，蠕虫会被自动运行。
开机弹出的记事本便是这个KB20060111.exe文件了，诱发这个KB20060111.exe的启动可能不是常规启动项，而是wincfgs.exe这个文件启动（呼

叫）KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身，其实KB20060111.exe就是一个记事本程序（这也就

是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故）。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设

备可能会再次传染这个移动存储设备。

[修改办法]
1、修改注册表
a.运行“regedit”启动注册表编辑器；
b.分别删除注册表项
HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows
下的Load注册表键里的键值内容。
不放心的话可以搜索“wincfgs.exe”的注册表键并删除之
2、删除文件
%SystemRoot%system32wincfgs.exe
%SystemRoot%KB20060111.exe
3移动存储设备：
连接好USB后，打开我的电脑，点右键选择打开（不要直接点击打开或点“open”）,然后打开菜单栏的"工具"->"文件夹选项"->"查看"，去掉

“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini，wincfgs.exe和autorun.inf
移动硬盘的手动删除每个盘符下面的desktop.ini，wincfgs.exe和autorun.inf文件。。

还有个方便的方法 批处理删除注册表修改：
复制下面文字到记事本，另存为“Wincfgs_kill.bat”（注意保存时选择文件类型为“所有文件”）

echo off
tskill KB20060111
tskill wincfgs
del %windir%kb20060111.exe
del %windir%system32wincfgs.exe
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows" /v "load" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows" /v "load" /t REG_SZ /d "" /f

然后运行,完毕后重启电脑

摘要： 教你盗QQ密码……特简单~~`嘿嘿！ ABS偷盜 教你看别人的 QQ密码： 随便点个好友，在QQ对话框中，输入'我是'两字， 不要发送。 再按住ALT键， 然后顺序按小键盘29482， 松开ALT键， 你的对话栏中将会出现对方QQ密码。 这个是最新腾讯公司的漏洞， 玩玩可以，不许乱改朋友的密码喔

摘要： 1.如何选择手机品牌？ 　　选择手机品牌首先要选择有良好口碑，经常能听人谈起的知名品牌；其次，面对多种选择时，就看个人爱好，经济能力的情况而定；再次，可留意手机的广告及宣传，在某个品牌搞活动的时候去选择购买，一般都较划算。 2.何为水货手机？ 　　一般常说的水货手机其实可分为二类。一类：走私手机。这类手机一般来讲质量可能没有问题，但是，一是违法；二是没有任何信誉和售后保障。二...

摘要： 首先我个人建议: 　　如果你是一个很容易遗忘的人，那么一定不要忘记在第一次设置密码的同时创建一张可以恢复Windows XP中的账户密码的启动盘，它可以让你免去格式化硬盘的烦恼。 　　从“控制面板”中找到“用户账户”项，选中自己的账户进入如图所示的控制界面，我们可以看到左侧任务列表中有一项“阻止一个已忘记的密码&rdqu...

摘要： 男孩，你懂女孩的心吗？（男人必读）孙子兵法中有句话叫做：知已知彼，百战不殆。要想赢得美人归，男孩，我给你提个醒。　　　　　　　　　　　　　　　　　　　女人是善变的，她性格像雾像雨又像风。高兴的时候，她们会在你面前嘻笑颜开，手舞足蹈，也许还会小鸟依人，这时候哪怕你心情坏到极点，糟到透顶，你也要装做刚在外面捡到了金元宝似的高兴，陪她笑，而且要笑得自自然然，痛痛快快。生气的时候，除了她身边的东西遭...