诺维格

"诺维格"破坏性：

“诺维格(mydoom)”为一种互联网蠕虫，开启Windows Notepad后便随即激活，显示出一些怪异字体。病毒能透过Windows系统自行安装程序，让黑客远程控制计算机。该病毒能自动复制，并以电子邮件传送给共享名录中的Kazaa用户。

"诺维格"病毒发作现象：

该病毒发作时会对网址“ sco.com ”进行DoS（拒绝服务式）攻击。病毒攻击时会开启多达64个线程，造程系统变慢或是不稳定，并可大量浪费网络资源。病毒还会将被感染的系统做为代理服务器，监听TCP端口3127-3198。

应对方法是下载诺维格专杀工具。

病毒别名：

处理时间：2004-01-27

威胁级别：★

中文名称：诺维格

病毒类型：蠕虫

影响系统：Windows 2000, Windows 95, Windows 98, Windows Me,

病毒行为:

编写工具:

传染条件: 运行病毒文件

5、在如下后缀的文件中搜索电子邮件地址，但忽略以.edu结尾的邮件地址：

.htm

.sht

.php

.asp

.dbx

.tbb

.adb

.pl

.wab

.txt

6、使用病毒自身的SMTP引擎发送邮件，他选择状态良好的服务器发送邮件，如果失败，则使用本地的邮件服务器发送。

7、邮件内容如下：

From: 可能是一个欺骗性的地址

主题:

test

hi

hello

Mail Delivery System

Mail Transaction Failed

Server Report

Status

Error

正文:

Mail transaction failed. Partial message is available.

The message contains Unicode characters and has been sent as a binary attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

附件名称:

document

readme

doc

text

file

data

test

message

body

可能的后缀:

pif

scr

exe

cmd

bat

zip

发作条件:

2004年2月1延续到2004年2月12日

系统修改:

a、创建如下文件：

%System%shimgapi.dll

%temp%Message， 这个文件由随机字母通组成。

%System%taskmon.exe, 如果此文件存在，则用病毒文件覆盖。

b、添加如下注册表项：

HKEY_CURRENT_USERSoftwareMicrosftWindowsCurrentVersionRun

TaskMon = %System% askmon.exe

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

TaskMon = %System% askmon.exe

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32Version

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32Version

发作现象:

对www.sco.com实施拒绝服务攻击, 创建64个线程发送GET请求，这个DoS攻击将从2004年2月1延续到2004年2月12日

特别说明:

a、Shimgapi.dll的功能是一个代理服务器，他开启3127到3198范围内的TCP端口进行监听。

b、拷贝自己到KaZaA下载目录下，伪装成如下文件，后缀可能为(pifscrat)：

winamp5

icq2004-final

activation_crack

strip-girl-2.0bdcom_patches

rootkitXP

office_crack

nuke2004