2004 年 10 月 10 日，江民反病毒中心截獲 I-Worm/MsnFunny 蠕蟲（文件大小 56,320 字節），通過 MSN Messenger 傳播並大規模劫持主流網站解析。本文詳細記錄其技術特徵、註冊表持久化、傳播話術、Hosts 劫持範圍及清除步驟。

一、 病毒技術特徵

1. 文件投放（多副本偽裝系統進程）

%WinDir%\rundll32.exe        (56,320 字節)
%SystemDir%\explorer.exe     (56,320 字節)
%SystemDir%\iexplore.exe     (56,320 字節)
%SystemDir%\userinit32.exe   (56,320 字節)

文件名盜用核心系統程序名，極易混淆視聽。

2. 註冊表持久化（多點佈防）

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MMSystem" = "%SystemDir%\mmsystem.dll"", rundll32

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit" = "%SystemDir%\userinit32.exe,"   ; 劫持用戶初始化進程

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MMSystem" = "%SystemDir%\mmsystem.dll"", rundll32

並強制設置 MSN 開機自動運行。

3. MSN 社工傳播話術（含病毒體附件）

「一家新開的酒吧，晚上聚聚，這裡有介紹 %url%，記得給我電話」

「朋友，多注意休息啊，可以到這裡放松放松哦，%url%」

「我們也來俗一把如何，看MM去，%url%，夠味！呵呵！」

「日本人在南京大屠殺的鐵證!堅決抵制日貨 %url%」

「對中國威脅最大的十個國家!列表 %url%」

「我見過最漂亮的視頻MM (不看可別後悔), %url%」

「《中國農民調查》頁頁血淚，驚動中央 轉自網易, %url%」

話術涵蓋娛樂、情感、愛國、猎奇、權威偽裝等多維社工誘餌。

4. Hosts 文件大規模劫持

修改 %SystemDir%\drivers\etc\hosts，將 900+ 個常用網站（門戶、搜索、銀行、郵箱、下載站等）解析至 222.89.98.***（測試時該 IP 已不可達），導致用戶無法訪問正常站點，間接推流至惡意站點或造成業務中斷。

二、 緊急手動清除步驟

1. 斷網 + 進入安全模式： 防止病毒繼續傳播/下載載荷/對抗清除。
2. 終止惡意進程： 任務管理器結束 rundll32.exe、explorer.exe（非系統原簽名）、iexplore.exe、userinit32.exe 等偽裝進程。
   提示：用 Process Explorer 驗證數字簽名與路徑，系統合法進程均在 %WinDir% 或 %SystemDir% 且簽名為 Microsoft。
3. 刪除病毒文件： 刪除上述四個偽裝文件。
4. 修復註冊表：
   刪除 HKLM\...\Run\MMSystem、HKCU\...\Run\MMSystem。
   修復 HKLM\...\Winlogon\Userinit 為標準值：%SystemDir%\userinit.exe,（注意末尾逗號）。
5. 恢復 Hosts 文件： 備份後刪除所有非標準映射，保留 127.0.0.1 localhost。
6. 全盤掃描： 使用更新至 10 月 10 日後病毒庫的殺毒軟體（江民 KV2005 等）全盤掃描清除殘留載荷。
7. 修補漏洞： 安裝 MS04-011、MS04-012 等關鍵補丁，防止再次被利用。

三、 防禦建議

• IM 軟體設置：不自動接收文件、不自動打開鏈接、啟用「陌生人消息過濾」。
• 系統加固：啟用 DEP、ASLR（XP SP2+）、AppLocker 限制非信任路徑執行。
• DNS 安全：使用 DoH/DoT 或可信公共 DNS（114.114.114.114、8.8.8.8），防止本地 Hosts 劫持生效（瀏覽器優先使用網絡 DNS）。
• 定期備份關鍵配置（Hosts、註冊表 Run 鍵、服務列表）便於快速對比異變。

結語

MsnFunny 體現了 2004 年前後 IM 蠕蟲的典型技術棧：多副本偽裝、多點註冊表持久化、社工話術庫、Hosts 大規模劫持。雖然具體病毒已成歷史，但其戰術模式在現代勒索蠕蟲、挖礦蠕蟲中大量重現。掌握「偽裝識別、持久化清除、網絡劫持修復」三板斧，配合 EDR 自動化響應，是應對此類威脅的長期有效方法。