Sola病毒结构

Value Engineering
0 引言
Sola 病毒又名“死亡问答”宅男病毒，是一款由批处理
文件运行的病毒，技术含量不很高，威力也不算强大，但对
用户文件造成的影响较大，至今仍然可以见到被oa 病
毒感染入侵的案例。由于是批处理病毒，源代码容易获取，
所采用的隐藏手段也容易被破解，所以对于那些对病毒原
理感兴趣，同时又没有专业工具的人来说是有一定研究价
值的素材。
1 Sola 病毒特征
oa 病毒有变种，本文针对较有代表性的版本做简单
分析。
oa 病毒感染用户近期打开的
doc、txt、exe 和jpg 四类文件，将其全部
变成exe 文件，如图1 所示。在进程管
理器里还能看到一个“seep.exe”进程，
而且非常活跃。当病毒执行次数累计超过50 次的时候，死
亡问答便会被激活（如图2 所示），同时锁定系统，删除
NTLDR 文件。NLDR 是一个隐藏、只读属性的系统文件，
它是Win NT/Win 2000/Win XP 的引导文件，用来装载操
作系统。当此文件丢失时就不能正确进入系统。如果用户
回答问题正确，病毒恢复NTLDR，并且进入自我清除模
式。如果用户回答失败，则需要重装系统。
中了oa 病毒以后普遍存在的明显特征体现在以下
几个方面：
①每个本地盘的根目录会建立一个OLA 隐藏目录和
一个Autoruninf 隐藏文件，如图3 所示。
②从OLA 文件夹中可以找到oa 病毒的两个主要
文件Functiond 和OLAbat，如图4 所示。
③四类文件被感染变成exe 文件。
此外，在“C:\Documents and ettings\A Users\ 「开始」
菜单 \ 程序 \ 启动”中会有一个 OLAvbs 文件；c:
\windows\system32\ 文件夹下有rarexe 和seepexe 两个病
毒文件；C:\WINDOW\Fonts\HIDEELF文件夹中还会包
括一个oasetup 文件夹，这是病毒主目录。
2 Sola 病毒结构
oa 病毒功能比较多，下面只对其中主要功能结构进
行简单分析。
2.1 自动播放文件 oa 病毒生成的AutorunInf 文件
共计9 行代码，部分代码如下：
she\ 打 开 (&O)\command =mst "jvsript:new
AtiveOject ('cript he')Run ('OLAOLABAT -
B',); windowcose( )"
从中可以看出，自动播放文件通过系统VB 来调用
OLAbat 文件。所以OLAbat 文件是一个入口文件。
2.2 OLAbat 文件 OLAbat 文件包含232 行代码，
感染病毒时包含255 行代码。主要包括安装、运行、测试、
恶意程序启用、自删除修复等几方面的动作。
2.2.1 初始动作 下面是拷贝病毒主要文件的部分代
—— —— —— —— —— —— —— —— ——— —— —
作者简介：朱立（197-），女，北京人，讲师，硕士，研究方向为计算
机软件。
浅析Sola 病毒结构
Analysis of the Sola Virus Structure
朱立 ZHU Li
（北京信息职业技术学院，北京 118）
（Beijing Information and Technoogy Coege，Beijing 118，China）
摘要： oa 病毒是一种以批处理文件为主要运行体的病毒。其技术含量并不算高，但对用户数据文件所造成的影响较大。其主要
特征是感染doc、txt、exe 和jpg 四类文件，将其变为exe 文件。本文针对oa 病毒的特征、结构做了简单分析，并归纳了oa 病毒的处
理方法。
Abstract: oa virus is a kind of batch virus which mainy runs by bat fies It hasn't high technica content, but makes great impact on
the user data fies Its main feature is infecting with four types of fies in doc, txt, exe and jp g, turns them into exe fies Author made a
simpe anaysis of the characteristics and structure of the virus in oa, and summarized the approach of oa virus
关键词： oa；病毒；结构
Key words: oa；Virus；tructure
中图分类号：TP30 文献标识码：A 文章编号：1006-4311（2012）30-0215-02
·215·