| 词条 | Worm.Frethem.l |
| 释义 | § 概述 病毒别名：W32.Frethem.L@mm【NAV】, I-Worm.Frethem.l【AVP】, W32/Frethem.l@MM【McAfee】, WORM_FRETHEM.K【Trend】, Win32.Frethem.K【CA】, W32/Frethem.K【Panda】 处理时间：2002-07-15 威胁级别：★★ 中文名称：密码 病毒类型：蠕虫 影响系统：Win9x / WinNT § 病毒行为: 该病毒会利用自己的SMTP引擎向Windows地址簿及.dbx .wab，.mbx，.eml，.mdb文件中的邮件地址发送大量邮件 1.病毒运行后检察当前键盘是否为Russian或Uzbek 键盘，如果是则退出不感染。否则复制自身为%SystemRoot%\\taskbar.exe，复制自身到C:\\Windows\\All Users\\Start Menu\\Programs\\Startup\\Setup.exe，这样Windows每次启动时，病毒会自动运行。 2.病毒在注册表的主键: HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run 中添加如下键值: "Task Bar"="%SystemRoot%\\taskbar.exe" 以便该病毒在每次重启 Windows 时运行. 3.病毒会从如下注册表中获取用户的SMTP服务器、邮件地址及SMTP服务器名： HKEY_CURRENT_USER\\Software\\Microsoft\\ Internet Account Manager\\Accounts\\00000001\\SMTP Server HKEY_CURRENT_USER\\Software\\Microsoft\\ Internet Account Manager\\Accounts\\00000001\\SMTP Email Address HKEY_CURRENT_USER\\Software\\Microsoft\\ Internet Account Manager\\Accounts\\00000001\\SMTP Display Name 4.随后病毒将从Windows地址簿及.dbx，.wab，.mbx，.eml，.mdb文件中获取邮件地址，并向这些地址发送邮件。邮件格式如下： 主题： Re: Your password! 正文： ATTENTION! You can access very important information by this password DO NOT SAVE password to disk use your mind now press cancel 附件：Decrypt-password.exe及Password.txt 附件文件Decrypt-password.exe就是是蠕虫病毒文件，经过了UPX及PE-Pack两层加壳，本身用VC++编写，大小为48K左右。而Password.txt是一个大小约93字节的文本文件。 由于该病毒利用了IFRAME及MIME漏洞，因此当用户在阅读或预览邮件的时候会自动执行附件中病毒，感染用户机器。 请及时打好这两个漏洞的补丁。补丁可在该地址下载：http://www.microsoft.com/technet/security/bulletin/MS01-020.asp 5.病毒还会创建互斥体："IEXPLORE_MUTEX_AABBCCDDEEFF"，保证病毒在内存中只有一份实例运行。 6.该病毒还带有后门程序，在病毒体内含有大量类似http://68.35.125.130/b.cgi的URL地址，病毒会从这些地址中随机选择一URL并从此URL下载并执行程序。这样后门程序就可以完成一些其它的功能。 |
| 随便看 |
百科全书收录594082条中文百科知识，基本涵盖了大多数领域的百科知识，是一部内容开放、自由的电子版百科全书。