基本信息

发作条件

系统修改(文件创建路径 对注册表的修改)

发作现象(打开记事本程序 向站点端口发送HTTP Get请求 关闭反病毒软件程序进程 收集邮件地址 发送邮件)

特别说明

基本信息

处理时间：2004-03-01

威胁级别：★★★

中文名称：恶鹰

病毒类型：蠕虫

影响系统：Win9x/WinMe/WinNT/Win2000/WinXP/Win2003

发作条件

2004.03.14 前发作。

系统修改

文件创建路径

将病毒自身拷贝到 %System%README.EXE

创建以下文件：

%System%ONDE.EXE

%System%DOC.EXE

%System%README.EXEOPEN (zip文件，作为附件随邮件发出)

对注册表的修改

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun

中添加如下键值:

gouday.exe = "%System%

eadme.exe"

以便该病毒在每次重启 Windows 时运行。

在注册表的主键:

HKEY_CURRENT_USERSOFTWAREDateTime3

中添加如下键值:

"frun" = "1"

"port" = "2745" 为黑客连接打开的端口号

"uid" = "<随机数字>"

创建一个名为 iain_m2 的互斥量，保证每次只运行一个蠕虫实例。

打开TCP端口，以便黑客连接，端口号为 2745

发作现象

打开记事本程序

有可能会打开记事本程序（notepad.exe），这是因为蠕虫不是从 %System%

eadme.exe 被启动。

向站点端口发送HTTP Get请求

向以下站点的80端口发送HTTP Get请求

http://permail.uniue nster. de/scr.php

http://www.sonson gext. net/de/scr.php

http://permail.uniu enster. de/scr.php

该GET请求包含被感染机器的监听端口，注册表键值"uid"中纪录的ID号。在连接web服务器时，其IP地址也被发送。

关闭反病毒软件程序进程

尝试关闭以下反病毒软件的程序进程：

ATUPDATER.EXE

ATUPDATER.EXE

AUPDATE.EXE

AUTODOWN.EXE

AUTOTRACE.EXE

AUTOUPDATE.EXE

AVLTMAIN.EXE

AVPUPD.EXE

AVWUPD32.EXE

AVXQUAR.EXE

CFIAUDIT.EXE

DRWEBUPW.EXE

ICSSUPPNT.EXE

ICSUPP95.EXE

LUALL.EXE

MCUPDATE.EXE

NUPGRADE.EXE

NUPGRADE.EXE

OUTPOST.EXE

UPDATE.EXE

收集邮件地址

在本地磁盘扫描具有以下扩展名的文件，以收集邮件地址。

.ADB

.ASP

.CFG

.DBX

.EML

.HTM

.HTML

.MDX

.MMF

.NCH

.ODS

.PHP

.PL

.SHT

.TXT

.WAB

发送邮件

用自带的smtp引擎发送邮件。

邮件主题从以下段落中选择一个：

Accounts department

Ahtung!

Camila

Daily activity report

Flayers among us

Freedom for everyone

From Hair-cutter

From me

Greet the day

Hardware devices price-list

Hello my friend

Hi!

Jenny

Jessica

Looking for the report

Maria

Melissa

Monthly incomings summary

New Price-list

Price

Price list

Pricelist

Price-list

Proclivity to servitude

Registration confirmation

The account

The employee

The summary

USA government abolishes the capital punishment

Weekly activity report

Well...

You are dismissed

You really love me? he he

邮件内容为空。

邮件附件为 <随机字符>.zip，该zip文件中包含一个exe文件，文件名为 README.EXE，图标为excel文件的图标。

该蠕虫将不会往含以下字段的邮件地址发送邮件

.ch

@hot mail .com

@m sn .com

@microsoft

@avp.

noreply

local

root@

postmaster@

特别说明

2004.03.14 后，将自行卸载并退出。