病毒基本信息

病毒行为

病毒基本信息

病毒别名：Net-Worm.Win32.Maslan.b [AVP],Worm.Win32.Maslan.b [AVP]

威胁级别：★★

中文名称：马思兰

病毒类型：蠕虫

影响系统：Win9x / WinNT

病毒行为

这是一个通过邮件传播的蠕虫病毒。该病毒发作的时候将路径中带有share、setup、distr、download这4个单词的pif、exe、rar、zip文件备份，并用病毒文件来覆盖原来的这些文件。为了实现病毒的开机自启动，该病毒每隔20秒钟写一次注册表启动项。该病毒在本地机器收集邮件地址，还会跳过带有安全网站字眼的邮件地址，以免被反病毒厂商截获，再将病毒做为附件发送到邮件接收者。

邮件截图

1)建立互斥体ALAxALA，防止病毒的多个实例同时运行。

2)建立病毒文件：

System%\\___e

%System%\\___u

%System%\\___r.exe （病毒副本）

%System%\\___j.dll （会被注入svchost.exe进程）

%System%\\___synmgr.exe

%SystemRoot%\\___n.EXE

建立临时文件：

%System%\\_AlaMail

%System%\\_AlaScan

%System%\\_AlaDdos

%System%\\_AlaFtp

%System%\\_Prior

%System%\\___m

%System%\\___t

3)在注册表中为病毒的自启动添加启动项：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

"Microsoft Synchronization Manager"="___synmgr.exe"

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

"Microsoft Synchronization Manager"="___synmgr.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices

"Microsoft Synchronization Manager"="___synmgr.exe"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

"Microsoft Windows DHCP"="%System%\\___r.exe"

4)查找路径中带有下列字眼并且比%System%\\___u大的pif、exe、rar、zip文件

share

setup

distr

download

备份这些文件并用%System%\\___u的内容代替这些文件的内容，这些文件的名称保持不变而将后缀名全部改成.exe，也就是全部变成了病毒。

5)从下列扩展名的文件中收集邮件地址：

xml

xls

wsh

mmf

mht

mdx

mbx

jsp

htm

eml

dhtm

dbx

cgi

cfg

asp

adb

wab

uin

txt

tbb

stm

shtm

sht

pl

php

oft

ods

nch

msg

6)用来伪造邮件发信人的姓：

Miller

Scott

Jackson

Nelson

Ruben

Bernard

Kramer

Kutcher

Goldberg

Green

Conor

Lopez

Carter

Ghisler

Smith

用来伪造邮件发信人的名：

Christian

Sarah

Mackye

John

Angel

Steven

Peter

Arnold

Chris

Helen

Ivan

Robert

Alan

Liza

Andrew

Anna

Maria

例如：Mackye Green 和 Robert Ghisler 这就是2个伪造的发信人。

7)用来伪造发信人邮箱的域名：

mail.com

freemail.com

hotmail.com

yahoo.com

msn.com

aol.com

8)该病毒为了防止将自己发送给反病毒厂商会跳过带有下列字眼的邮件地址：

utgers.ed

tanford.e

pgp

acketst

secur

isc.o

isi.e

ripe.

arin.

sendmail

rfc-ed

ietf

iana

usenet

fido

linux

kernel

google

ibm.com

fsf.

gnu

mit.e

bsd

math

unix

berkeley

foo.

mysqlruslis

nodomai

mydomai

example

inpris

borlan

sopho

panda

syma

avp