WORD文檔殺手病毒技術分析報告

近日，江民反病毒研究中心接到來自不同地區的使用者反映，他們電腦中DOC格式的WORD檔案突然神秘失蹤，其中有許多是他們積累多年的重要資料和書稿，一旦丟失，損失將十分慘重。奇怪的是，存放DOC檔案的檔案夾卻仍然存在，而且其它類型的文檔檔案如試算表XLS、投影片PPT等卻沒有異常。

接到使用者的報告後，江民反病毒專家第一時間提取了可疑檔案樣本並進行了特徵分析，專家分析後確認，使用者受害的原因系感染了一名為“WORD文檔殺手”（Trojan/DelDoc）新病毒，該病毒一旦發作，可以將office使用者的WORD文檔逐個刪除，所有windows版本使用者無一倖免。

該病毒採用VB語言編寫，病毒主體檔案為 c:\windows\doc.exe 或者 c:\windows\doc1.exe ，並且該病毒檔案會類比成Word文檔的表徵圖： 病毒運行後，會在C盤根目錄下產生病毒檔案 c:\ww.bat 和c:\ww.txt ， 其中 ww.bat檔案內含有批次程式，搜尋硬碟中所有的Word文檔 ：

dir c:\*.doc /a/b/s >>c:\ww.txt
dir d:\*.doc /a/b/s >>c:\ww.txt
dir e:\*.doc /a/b/s >>c:\ww.txt

這樣，病毒就將硬碟裡面的所有的DOC文檔建立一個列表，輸出到c:\ww.txt檔案中，然後逐一將這些DOC檔案刪除，在刪除的同時還會將這些Word文檔複製到c:\windows\wj\ 目錄中,並將副檔名改為.COM。同時此病毒還能修改註冊表索引值，以達到隱藏副檔名的目的。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt]
"CheckedValue" = dword:00000001
"UncheckedValue" = dword:00000001

這樣使用者無論如何查看副檔名都是無法顯示的。

江民反病毒專家特別指出，此病毒還能自我載入到隨身碟的自動運行檔案裡，這樣，一旦使用者將感染了該病毒的隨身碟接入電腦，WORD文檔殺手病毒就會自動運行，導致所有WORD文檔神秘失蹤。

但是，反病毒專家也指出， “WORD文檔殺手”病毒還算比較“仁慈”，因為它並沒有徹底刪除DOC檔案，手動恢複被刪除的WORD文檔的方法：請先修改註冊表索引值：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt]
"CheckedValue" = dword:00000001
"UncheckedValue" = dword:00000000

這樣就可以顯示檔案的副檔名了，然後來到c:\windows\wj\ 這個檔案夾中去看看有無同名的.com檔案，如果有的話只需把副檔名改成.doc即可找回丟失的Word檔案。 也可以在命令提示行來到c:\windows\wj 檔案夾下，中用 ren *.com *.doc 命令來一次完成所有修改副檔名操作。

如圖：

這樣，被病毒刪除的Word檔案就恢複出來了，然後升級一下殺毒軟體，全盤殺毒就可以了。

江民反病毒專家提醒大家注意：請做好資料備份工作，以防不測。如果看到有副檔名為.EXE的Word文檔請不要直接雙擊運行，因為其很有可能是病毒，為了預防這類病毒的破壞,江民反病毒專家建議廣大使用者安裝最新的殺毒軟體,及時升級病毒庫，開啟病毒即時監控。專家並建議使用者在使用隨身碟時,盡量不要開啟自動運行功能或直接雙擊開啟隨身碟，可以使用滑鼠右鍵開啟的功能。江民殺毒軟體KV2006的接入移動存放裝置自動查毒功能，可有效杜絕此類病毒從隨身碟入侵電腦。