出处：安天病毒分析组
病毒标签：
病毒名称： Email-Worm.Win32.Runouce.b
病毒类型： 邮件蠕虫类
文件 MD5： 52707C103393D7DB31263D0A03CAF5DA
公开范围： 完全公开
危害等级： 4
文件长度： 23,493 字节
感染系统： Windows98以上版本
加壳类型： nSPack 2.1 - 2.5
病毒描述：
该病毒为蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件，使用bat
批处理删除原文件。 修改注册表，并创建服务项,以达到随机启动的目的。该病毒
会发送大量的病毒邮件，使本机与网络资源被大量占用，甚至会造成死机现象发生。
行为分析：
本地行为：
1、文件运行后会衍生以下文件：
%DriveLetter%\auto.exe 23,493 字节
%DriveLetter%\autorun.inf 78 字节
%Program Files%\NetMeeting\readme.eml 4,882 字节
%System32%\145E5540.EXE 23,493 字节
%System32%\2B4295C.DLL 10,834 字节
%System32%\delme.bat 291 字节
%System32%\runouce.exe 10,748 字节
2、新建注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\CurrentVersion\Run]
注册表值：" Runonce"
类型： REG_SZ
值： " C:\WINDOWS\system32\runouce.exe "
描述：添加启动项，以达到随机启动的目的
3、创建服务，并以服务的方式达到随机启动的目的：
服务名称：AEA69184
显示名称：AEA69184
描述语言：2B4295C
文件路径：C:\WINDOWS\system32\145E5540.EXE -k
启动方式：自动
4、将2B4295C.DLL插入到EXPLORER.EXE进程和其它相关进程中。
5、通过信使服务，从本机向工作组其它成员发送消息：
My god! Some one killed chinexe-Hacker-2 Monitor
6、搜索本地邮件地址，并自动发送大量病毒邮件，使本机计算机资源耗尽，
CPU占用率为100%；占用大量网络资源，使网络速度明显变慢。
网络行为：
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的
位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是C:\Windows\System
windowsXP中默认的安装路径是C:\Windows\System32
--------------------------------------------------------------------------------
清除方案：
1 、使用安天防线2008可彻底清除此病毒(推荐)，
请到安天网站下载：
www.antiy.com 。
2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用安天木马防线或ATool中的“进程管理”关闭病毒
的runouce.exe进程：
使用ATool卸载插入的2B4295C.DLL模块。
(2)强行删除病毒文件：
%DriveLetter%\auto.exe 23,493 字节
%DriveLetter%\autorun.inf 78 字节
%Program Files%\NetMeeting\readme.eml 4,882 字节
%System32%\145E5540.EXE 23,493 字节
%System32%\2B4295C.DLL 10,834 字节
%System32%\delme.bat 291 字节
%System32%\runouce.exe 10,748 字节
(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run]
注册表值：" Runonce"
类型： REG_SZ
值： " C:\WINDOWS\system32\runouce.exe "
(4) 禁用服务项AEA69184。
