Synaptics蠕虫病毒还原工具

Synaptics蠕虫病毒还原工具特点：

• 可以实现自动扫描电脑已经被感染的文件，自动还原

• 工具体积较小，不用安装

Synaptics蠕虫病毒介绍：

“Synaptics“是一个新型蠕虫病毒，病原体“Synaptics.exe”有超过 2 万个变种。

该病毒具有很强的传播性，既可以通过带有恶意宏代码的 Excel 文档传播， 也可以

通过对正常的EXE 文件进行偷梁换柱的方式进行传播，其次，该病毒 会监听USB设备

的接入并通过autorun.inf 文件感染 USB 设备。 当用户无意 打开病毒 EXE 可执行文件时，

病毒首先会复制自身 然后将指定目录下的用户 EXE 文件更新到刚刚复制的病毒文件的资源段中，

接着复制用户 EXE 文件图标 最后替换原始的文件。整个个感染过程不会破坏原始的文件功能，

用户点击该文件后， 会执行原始文件功能 用户很难发现文件已经被感染。 此病毒感染以后，

有个比较明显的特征： 原本的文件会出现”._cache”的前缀名

大连网警通报：

大连市网络安全通报机制合作单位启明星辰公司发现新型蠕虫病毒“Synaptics“的病原体“Synaptics.exe”有超过2万个变种。该病毒具有很强的传播性，既可以通过带有恶意宏代码的Excel文档传播，也可以通过对正常的EXE文件进行偷梁换柱（将正常的EXE文件内容复制更新到病毒自身的资源段中）的方式进行传播，其次，该病毒会监听USB设备的接入并通过 autorun.inf文件感染USB设备。

当用户无意打开病毒EXE可执行文件时，该病毒首先会复制自身，然后将指定目录下的用户EXE文件更新到刚刚复制的病毒文件的资源段中，接着复制用户EXE文件图标，最后替换原始的文件。整个感染过程不会破坏原始的文件功能，用户点击该文件后，仍然会执行原始文件的功能，用户很难发现文件已经被感染。

病毒感染特点：

① 运行第一次感染的可执行程序，并使用其感染程序图标，其后随着使用者运行感染程序而改变。

② 可执行程序被感染后，右键属性后发现“描述”内容被改变为：“Synaptics Pointing Device Driver”。

③ 被感染文件首次执行时会在同文件夹内新产生一个和感染文件同名且前缀为：“._cache_”的病毒文件。

④ 系统被感染后，对任何插入的U盘，都会被病毒搜索到，并立即采取遍历可执行文件的方式感染。成为新的感染源，使用者在不知不觉中，只要在其它电脑上运行U盘中的程序，就会感染其它电脑。

⑤ 病毒只感染可执行文件，无法感染压缩文件。

⑥ 病毒首次在硬盘或U盘被触发传染时，硬盘灯或U盘指示灯会狂闪（说明在病毒在疯狂感染文件，也就是写文件的过程），同时会莫名弹窗提示文件没有权限，这可能是病毒Bug，也是提醒我们系统已经异常的警报。

⑦ 其在注册表中创建2个启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mydesk]
“key”=”SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run”
“item”=”mydesk”
“hkey”=”HKCU”
“command”=”C:\\Users\\WWH\\Desktop\\mydesk 1.0.7.0\\mydesk.exe”
“inimapping”=”0”
“YEAR”=dword:000007e4
“MONTH”=dword:00000004
“DAY”=dword:00000002
“HOUR”=dword:00000017
“MINUTE”=dword:0000001e
“SECOND”=dword:0000001e

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Synaptics Pointing Device Driver]
“key”=”SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run”
“item”=”Synaptics Pointing Device Driver”
“hkey”=”HKLM”
“command”=”C:\\ProgramData\\Synaptics\\Synaptics.exe”
“inimapping”=”0”
“YEAR”=dword:000007e4
“MONTH”=dword:00000004
“DAY”=dword:00000002
“HOUR”=dword:00000017
“MINUTE”=dword:0000001e
“SECOND”=dword:0000001e