病毒概況

• 名稱：MSN蠕蟲Funny（Worm.Funny）
• 傳播向量：MSN Messenger、QQ即時通訊軟體
• 影響系統：Win95/98/Me/NT4/2000/XP/2003
• 危害等級：高（修改關鍵啟動項，不當清除導致無法登入系統）
• 國內傳播面：廣

技術行為分析

1. 檔案植入（偽裝系統關鍵檔）

自我複製並重命名為：

• %SystemRoot%\rundll32.exe
• %SystemRoot%\system32\IEXPLORE.EXE
• %SystemRoot%\system32\explorer.exe
• %SystemRoot%\system32\userinit32.exe（偽造userinit.exe）

2. 註冊表劫持啟動

• 修改HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit指向userinit32.exe（導致不當刪除後無法登入）。
• 在HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run添加rundll32.exe自啟項。

3. DNS劫持（修改Hosts）

將大量知名域名解析至222.89.98.219，導致用戶訪問正規網站被重定向至惡意伺服器。

4. 進程互護機制

同時運行多個副本，任一進程被終止，其餘立即重啟之，極難手動清除。

5. IM大規模傳播

偵測到QQ/MSN運行 → 向所有聯繫人發送誘騙訊息+funny.exe檔案傳輸請求。

安全清除標準流程

誤刪導致無法登入的急救方案

1. Windows安裝光盤啟動 → 「R」進入修復模式 → 「C」進入恢復控制台。
2. 選擇Windows安裝（通常為1），輸入管理員密碼。
3. cd system32 → del userinit32.exe → copy userinit.exe userinit32.exe
4. 重啟，再執行上述標準清除流程。

預防建議

• 拒絕陌生IM檔案傳輸，不點擊可疑連結。
• 部署網關/郵件/IM內容過濾，封鎖可執行檔傳輸。
• 啟用系統還原/備份，關鍵時刻可回滾。