下载器蠕虫变种IR替换系统文件

网络安全

2008年9月22日 第37期

警惕程度:★★★

危害指数:★★★

本周大家要关注下载器蠕虫变种IR（Worm.Win32.DownLoader. ir）病毒。该病毒会把自己伪装成一个图片的样子，名字叫“照片”并且有很长的空格，诱惑用户打开。用户一打开，病毒就会运行。

病毒运行后，会关闭安全软件以躲避查杀，随后会删除dllcache中的wuauclt.exe，然后把自己复制到该目录下并且改名为wuauclt.exe，再删除system32下的wuauclt.exe，复制自己到该目录下命名为wuauclt.exe，并在每一个盘符下面生成AUTORUN.inf和WINDOWS.pif，达到再次运行和传播病毒的目的。

此外，该病毒还会写入注册表启动项，以实现开机自启动。做完这些，它就会访问黑客指定网页，下载大量病毒到本地运行，反复感染，彻底清除比较困难。

清除方法：使用最新病毒库的杀毒软件查杀，例如瑞星的病毒库要升级到20.63版。此外，我们不要随便点击名称古怪的照片，不要去小网站浏览图片。