蠕虫Worm.Win32.Small.r行为分析与清除

　　病毒通过查询操作系统来决定当前System32文件夹的位置；

　　Windows2000/NT中默认的安装路径是　C:WinntSystem32；

　　Windows95/98/Me中默认的安装路径是　C:WindowsSystem；

　　WindowsXP中默认的安装路径是　C:WindowsSystem32。

　　四、 清除方案：

　　1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。

　　(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程

　　(2) 强行删除病毒文件

　　%Temp% s.bat

　　%Program Files%Common FilesMicrosoft Sharedmaeyu.exe

　　%Program Files%Internet ExplorerConnection Wizardevwfq.exe

　　%Program Files%Windows Media Playergwuuu.exe

　　%Windir%addinswuwsu.exe

　　%Windir%systemoowyg.exe

　　%System32%dllcacheesmqc.exe

　　%System32%driverssvchost.exe

　　%System32%driverswoauq.exe

　　%System32%icyok.exe

　　%System32%IMEqusae.exe

　　%System32%lptrr.exe

　　(3) 恢复病毒修改的注册表项目，添加病毒删除的注册表项

　　 　　[HKEY_LOCAL_MACHINESYSTEMControlSet001ServiceswuauservParameters]

　　注册表值： " ServiceDll "

　　类型： REG_SZ

　　字符串： " C:WINDOWSsystem32wuauserv.dll."

　　描述：删除自动更新对应的DLL项，使自动更新不可用

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswuauservParameters]

　　注册表值： " ServiceDll "

　　类型： REG_SZ

　　字符串： " C:WINDOWSsystem32wuauserv.dll."

　　描述：删除自动更新对应的DLL项，使自动更新不可用

　　[HKEY_LOCAL_MACHINESYSTEMControlSet001Serviceswuauserv]

　　新建键值：字串："ImagePath "=" %SystemRoot%system32driverssvchost.exe."

　　原键值：字串："ImagePath "="%systemroot%system32svchost.exe -k netsvcs."

　　描述：添加病毒启动项，使自动更新服务默认开启的是病毒文件

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswuauserv]

　　新建键值：字串："ImagePath "=" %SystemRoot%system32driverssvchost.exe."

　　原键值：字串："ImagePath "="%systemroot%system32svchost.exe -k netsvcs."

　　描述：：添加病毒启动项，使自动更新服务默认开启的是病毒文件