简介

释放位置

注册表信息

简介

病毒别名：Email-Worm.Win32.Hybris.b[AVP]

处理时间：

威胁级别：★★

中文名称：

病毒类型：蠕虫

影响系统：Win9x / WinNT

病毒行为:

该病毒释放一个DLL文件，并尝试将该DLL替换掉系统文件wsock32.dll，当中毒机器访问网络的时候，病毒就开始发作，病毒搜集用户机器上的邮件地址，将自身作为随机文件名的附件的发送出去，以感染更多机器。

释放位置

该病毒释放DLL文件到系统目录%system32%\MIGBELN（Worm.Win32.Hybris，大小与wsock32.dll的大小相关）。该文件是病毒体的一部分和wsock32.dll的合并体。

注册表信息

在Win9X系统中修改系统文件WININIT.INI：

[Rename]

C:\\WINDOWS\\SYSTEM\\WSOCK32.DLL=C:\\WINDOWS\\SYSTEM\MIGBELN

在WinNT系统中修改注册表：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager

"PendingFileRenameOperations"=hex(7):5c,00,3f,00,3f,00,5c,00,43,00,3a,00,5c,00,\\

57,00,49,00,4e,00,4e,00,54,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,\\

00,32,00,5c,00,4e,00,4d,00,49,00,47,00,42,00,45,00,4c,00,4e,00,00,00,5c,00,\\

3f,00,3f,00,5c,00,43,00,3a,00,5c,00,57,00,49,00,4e,00,4e,00,54,00,5c,00,53,\\

00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,57,00,53,00,4f,00,43,00,\\

4b,00,33,00,32,00,2e,00,44,00,4c,00,4c,00,00,00,00,00

以将释放的文件NMIGBELN替换系统文件WSOCK32.DLL。替换成功以后，病毒DLL替代了原始WSOCK32.DLL的以下API函数：

connect

send

recv

当有程序调用这几个API函数时，病毒即开始发作。病毒将自身作为随机文件名的附件的发送出去，以感染更多机器。病毒发送的邮件的主题以白雪公主和七个小矮人相关内容为多。