一看U盤就中毒 “快捷方式蠕蟲”感染三十萬網民
2010-07-20 15:00:11盜用realtek聲卡簽名 已有180多個變種 利用微軟最新漏洞
7月20日，瑞星公司向網民發出警告，一個名為“快捷方式蠕蟲”的病毒在快速傳播，截至目前已有超過30萬網民被感染，瑞星云安全系統已經截獲該病毒的180多個變種，并以每天數十個變種的速度瘋狂增加。
瑞星安全專家表示，該病毒的厲害之處在于，它利用了微軟爆出的最新0day漏洞，中毒電腦會自動往U盤、移動硬盤、手機等設備中寫入兩個病毒文件：WTR12341.Tmp（數字隨機變化）和名為Copy of shortcut to的快捷方式病毒。當這些帶毒U盤拿到別的電腦用的時候，用戶只要插入U盤并瀏覽，病毒就會自動運行，再次感染，所謂“一看U盤就中毒”。
（紅圈標明的就是U盤中的帶毒文件，這樣的U盤用戶一看就會中毒）
據瑞星反病毒部門分析，由于該病毒盜用了著名聲卡廠商realtek的數字簽名，很多主流殺毒軟件會將其當作正常軟件而放過，從而間接導致了該病毒的泛濫。針對該病毒，瑞星殺毒軟件自帶超強“木馬行為防御”，無需升級即可全面攔截“快捷方式蠕蟲病毒”的未知變種。
病毒進入用戶電腦后，會在系統的system32目錄下創建WINSTA.EXE，然后啟動 %System32%\lsass.exe并將惡意代碼注入該進程，然后通過lsass.exe釋放驅動程序mrxcls.sys和mrxnet.sys到系統驅動目錄，并且其釋放的兩個驅動程序都盜用了realtec的數字簽名。
病毒驅動加載后，會Hook系統內核模塊。病毒還會枚舉用戶的可移動設備，并創建一個.lnk文件，該文件利用微軟的.lnk文件漏洞，用戶在通過資源管理器查看包含病毒lnk文件的目錄時，病毒即會運行。
據悉，瑞星云安全系統最早截獲該樣本的時間為2010-7-8 22：05分，并且均已在第一時間由云安全系統自動分析入庫。截止發稿時止，瑞星云安全系統已經截獲了該病毒的180多個樣本。
針對“快捷方式蠕蟲”病毒，瑞星提醒廣網民應采取以下措施：
1.?禁用可移動存儲設備的自動播放功能；
2.?在插入U盤等可移動存儲的設備時候，先右鍵調用殺毒軟件殺毒，再打開查看文件；
3.?安裝瑞星殺毒軟件（http://www.ikaka.com/2010/down.asp?t=ravd&action=1471771），升級到最新版本，即可徹底查殺該病毒的所有已知變種。并強烈建議開啟“木馬行為防御”功能，該功能采用動態分析技術，可以全面攔截該病毒的未知變種。