Worm.MSNLoveme.i病毒为性感鸡变种i,它通过MSN传播,当用户感染该病毒后,该病毒会修改hosts文件,使众多安全及反病毒公司网站地址重定位到BBC网站,有可能导致对BBC网站的DDos攻击,且无法正常这些安全公司的网站;禁止运行一些系统程序(如:任务管理器,msconfig.exe等);禁止系统还原;禁止Windows资源管理器的"文件夹选项"等;关闭MSN接收文件查毒选项,严重影响用户的正常工作。

简介

修复

结束

简介

病毒别名：

处理时间：2005-03-16

威胁级别：★★

中文名称：性感鸡变种i

病毒类型：蠕虫

影响系统：Win9x / WinNT

修复

调用IE打开的html如下:

1.复制自身到系统目录%System32%下:

csnss.exe

mcsv.com

2.复制自身到%SystemRoot%下:

svhost.exe

LARISSA you muppet.txt

3.在系统盘根目录下创建以下文件:

D:\\l0ser.Html

D:\\Death of crazy frog!.pif

D:\\Hot babe!.pif

D:\\Really Cute.pif

D:\\My piccy.pif 24KB

D:\\Bungee-Fuck.pif

D:\\I_love_you.123greetings.com.com

D:\\Paris Hilton Sex Tape.pif

D:\\Shoot Bill Gates!.exe

D:\\Best_Friend.scr

D:\\lol Busted Are Gay!.pif

D:\\Saddam Song!.pif

D:\\Me at the Beach!.pif

4.修改注册表使自身随计算机启而自动运行

NDAv = "%System32%\\csnss.exe"

SDAv = "%System32%\\mcsv.com.exe"

HKEY_CURRENT_USER\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies\\Explorer\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon

Userinit = "%System32%\\userinit.exe,D:\\WINNT\\system32\\mcsv.com"

5.在系统注册表中添加(禁止系统还原):

HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\SystemRestore

DisableConfig = 00000001

HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows NT\\SystemRestore

DisableSR = 00000001

6. 修改MSN接收文件查毒选项

HKEY_CURRENT_USER\\Software\\Microsoft\\MSNMessenger

AVEnbl = 00000000

7.修改hosts文件,使众多安全及反病毒公司网站重定向到BBC网站,导致无法正常下列公司的网站:

212.58.240.33 www.symantec.com

212.58.240.33 www.sophos.com

212.58.240.33 www.mcafee.com

212.58.240.33 www.viruslist.com

212.58.240.33 www.f-secure.com

212.58.240.33 www.avp.com

212.58.240.33 www.kaspersky.com

212.58.240.33 www.networkassociates.com

212.58.240.33 www.ca.com

212.58.240.33 www.my-etrust.com

212.58.240.33 www.nai.com

212.58.240.33 www.trendmicro.com

212.58.240.33 www.grisoft.com

212.58.240.33 securityresponse.symantec.com

212.58.240.33 symantec.com

212.58.240.33 sophos.com

212.58.240.33 mcafee.com

212.58.240.33 liveupdate.symantecliveupdate.com

212.58.240.33 viruslist.com

212.58.240.33 f-secure.com

212.58.240.33 kaspersky.com

212.58.240.33 kaspersky-labs.com

212.58.240.33 avp.com

212.58.240.33 networkassociates.com

212.58.240.33 ca.com

212.58.240.33 mast.mcafee.com

212.58.240.33 my-etrust.com

212.58.240.33 download.mcafee.com

212.58.240.33 dispatch.mcafee.com

212.58.240.33 secure.nai.com

212.58.240.33 nai.com

212.58.240.33 update.symantec.com

212.58.240.33 updates.symantec.com

212.58.240.33 us.mcafee.com

212.58.240.33 liveupdate.symantec.com

212.58.240.33 customer.symantec.com

212.58.240.33 rads.mcafee.com

212.58.240.33 trendmicro.com

212.58.240.33 grisoft.com

212.58.240.33 sandbox.norman.no

212.58.240.33 www.pandasoftware.com

212.58.240.33 uk.trendmicro-europe.com

结束

8.结束安全软件和禁止运行一些系统程序(如:任务管理器,msconfig.exe等):

9.向MSN好友发送病毒文件

10.通网络共享目录(如eMule)传播自身,可能的文件名如下:

MSN Messenger 7 patch!.exe

CE/DP Stealer 2.exe

MSN Avatar Display Pack 1.0.exe