病毒名稱：
Email-Worm.Win32.Small.f病毒類型： 蠕蟲
檔案 MD5： BA48018645DD8E76663B9455D9DBBD53
公開範圍： 完全公開
危害等級： 5
檔案長度： 35,840 位元組
感染系統： windows98以上版本
開發工具： Borland Delphi 6.0 - 7.0
加殼類型： 無在
命名對照： 驅逐艦 [Trojan.MulDrop.4585]
BitDefender [Trojan.Downloader]
病毒描述：
該病毒屬蠕蟲類，病毒運行後複製自身%system32%\epower.exe，連線網路下載病毒檔案，並自動運行，修改註冊表項，感染exe檔案。
行為分析：
1、病毒運行後複製自身：
%system32%\epower.exe
2、連線網路下載病毒檔案：
連線網路：
Softd.ppandora.com(222.208.183.247)
Wydos.3322.org(222.208.183.247)
Softa.ppandora.com(61.153.58.138)
下載病毒檔案並自動運行：
%WINDIR%\g_server1.23fix.exe
%system32%\delmeexe.bat
%system32%\rpcs.dll
%system32%\Rpcs.exe
灰鴿子
批處理檔案用來刪除下載並運行後的病毒
Trojan-PSW.Win32.QQRob.km
Trojan-PSW.Win32.QQRob.km
3、修改註冊表項：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\RpcS\
鍵值: 字串: "ImagePath "="C:\WINDOWS\system32\RpcS.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\SysDrver\Enum\
鍵值: 字串: "0"="Root\LEGACY_SYSDRVER\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\SysDrver\
鍵值: 字串: "DisplayName "="System SSDP Services"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\
鍵值: 字串: " ObjectName "="LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\Enum\
鍵值: 字串: " Count "="1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\Enum\
鍵值: 字串: " NextInstance "="1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\
鍵值: 字串: " ErrorControl "="0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\GrayPigeonServer1.23fix\
鍵值: 字串: " ImagePath "="C:\WINDOWS\G_Server1.23fix.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\GrayPigeonServer1.23fix\
鍵值: 字串: "Description"="灰鴿子服務端程式。遠程監控管理."
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\GrayPigeonServer1.23fix\
鍵值: 字串: " DisplayName "="Gray_Pigeon_Server1.23fix"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
\LEGACY_SYSDRVER\0000\Control\
鍵值: 字串: "ActiveService "="SysDrver"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
\LEGACY_SYSDRVER\0000\
鍵值: 字串: "DeviceDesc "="System SSDP Services"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
\LEGACY_SYSDRVER\0000\Control\
鍵值: 字串: "*NewlyCreated*"="0"
4、感染EXE檔案
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%system32%\epower.exe
%WINDIR%\g_server1.23fix.exe
%system32%\delmeexe.bat
%system32%\rpcs.dll
%system32%\rpcs.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\RpcS\
鍵值: 字串: "ImagePath "="C:\WINDOWS\system32\RpcS.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\SysDrver\Enum\
鍵值: 字串: "0"="Root\LEGACY_SYSDRVER\0000"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SysDrver\
鍵值: 字串: "DisplayName "="System SSDP Services"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\
鍵值: 字串: " ObjectName "="LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\Enum\
鍵值: 字串: " Count "="1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\Enum\
鍵值: 字串: " NextInstance "="1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS\
鍵值: 字串: " ErrorControl "="0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\GrayPigeonServer1.23fix\
鍵值: 字串: " ImagePath "="C:\WINDOWS\G_Server1.23fix.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\GrayPigeonServer1.23fix\
鍵值: 字串: "Description"="灰鴿子服務端程式。遠程監控管理."
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
\GrayPigeonServer1.23fix\
鍵值: 字串: " DisplayName "="Gray_Pigeon_Server1.23fix"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
\LEGACY_SYSDRVER\0000\Control\
鍵值: 字串: "ActiveService "="SysDrver"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
\LEGACY_SYSDRVER\0000\
鍵值: 字串: "DeviceDesc "="System SSDP Services"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root
\LEGACY_SYSDRVER\0000\Control\
鍵值: 字串: "*NewlyCreated*"="0"
