基本信息

病毒行为

基本信息

病毒别名：I-Worm.Cone.e [AVP]

处理时间：

威胁级别：★★

中文名称：

病毒类型：蠕虫

影响系统：Win9x / WinNT

病毒行为

这是一个通过Kazaa文件共享系统和电子邮件来进行传播的蠕虫病毒。如果当前系统时间是3月以后，该病毒只在本地机器上生成并打开一个网页文件W32.Cyclone.htm来传播某些言论，并不采取破坏动作。如果当前系统时间是3月或3月以前，该病毒会打开一个操作系统许可协议的文本文件，在Kazaa文件共享系统的下载目录下建立一个属性为“系统”、“隐藏”的文件夹Recieved，并将病毒的多个副本拷贝到该文件夹下。由于这些病毒副本是隐藏文件，共享用户可能会在拷贝其他文件的时候将这些病毒文件也拷贝过去，从而导致系统中毒。该病毒还将病毒做为邮件附件发送出去，修改host文件，使得用户无法访问多个安全网站。

1)病毒生成的网页文件%SystemRoot%\\W32.Cyclone.htm

该文件显示的内容为：

We need freedom in iran

We don't want islamic

republic

where is human rights watch?

Also this is a warning to European countries: don't support islamic republic of iran, you must know that your

support is our misery,

the next warning will be the next worm that targets European organizations!

Zer0_SuN

(there is a sun at zero o'clock)

(I don't want to damage any computer, I just want to bring irna.com down

Iranian programmers, help me in this way　- we want to show the world that we don't want islamic republic)

2)建立多个病毒的副本：

%SystemRoot%\\svchost.exe

%System%\\1enel.dll

%System%\\1vis.dll

%System%\\1url.dll

%System%\\1eml.dll

%System%\\1check.dll

%System%\\1seml.dll

%Temp%\\svchost.exe

%Temp%\\1http.dll

%Kazaa文件共享系统下载目录%\\Recieved\\Playboy-Screensaver-Nov-03.scr

%Kazaa文件共享系统下载目录%\\Recieved\\BAD-GIRLS(Playboy)-ScreenSaver.scr

%Kazaa文件共享系统下载目录%\\Recieved\\Winamp5.01.exe

%Kazaa文件共享系统下载目录%\\Recieved\\Screensaver-Hot Girls-part*.scr

windows\\Start Menu\\Programs\\Startup\\win.exe

documents and settings\\ALL USERS\\Start Menu\\Programs\\Startup\\win.exe

3)在注册表中添加启动项：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

"Windows Services Host"="%SystemRoot%\\svchost.exe"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

"Windows Services Host"="%SystemRoot%\\svchost.exe"

4)建立互斥体C-OnE

5)修改host屏蔽下列网站：

www.trendmicro.com

trendmicro.com

rads.mcafee.com

customer.symantec.com

liveupdate.symantec.com

us.mcafee.com

updates.symantec.com

update.symantec.com

support.microsoft.com

www.microsoft.com

microsoft.com

www.nai.com

nai.com

secure.nai.com

dispatch.mcafee.com

download.mcafee.com

www.my-etrust.com

my-etrust.com

mast.mcafee.com

ca.com

www.ca.com

networkassociates.com

www.networkassociates.com

avp.com

www.kaspersky.com

www.avp.com

kaspersky.com

www.f-secure.com

f-secure.com

viruslist.com

www.viruslist.com

liveupdate.symantecliveupdate.com

mcafee.com

www.mcafee.com

sophos.com

www.sophos.com

symantec.com

securityresponse.symantec.com

www.symantec.com