病毒简述

病毒行为

病毒简述

病毒别名：Email-Worm.Win32.Mytob.s[AVP]

处理时间：

威胁级别：★★

中文名称：

病毒类型：蠕虫

影响系统：Win9x / WinNT

病毒行为

这是一个通过电子邮件和系统漏洞传播的蠕虫病毒。该病毒可以通过Windows的本地安全认证服务远程缓冲区溢出漏洞（MS04-011）和DCOM RPC接口缓冲区溢出漏洞（MS03-026）来进行传播；病毒在某些特定的文件中收集邮件地址，再使用自己的SMTP引擎将病毒发送给这些邮件接收者。此外，该病毒还通过修改hosts文件来禁止用户访问某些著名的反病毒网站。

1)释放多个病毒副本：

C:\\funny_pic.scr

C:\\see_this!!.scr

C:\\my_photo2005.scr

%System%\\taskgmsr.exe

以及Worm.Mytob.f的一个副本：

C:\\hellmsn.exe

2)建立一个互斥体H-E-L-L-B-O-T，防止病毒的多个实例同时运行。

3)将“"asdasd"="taskgmsr.exe"”添加到下列注册表中以便实现病毒的开机自启动：

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices

HKEY_USERS\\S-1-5-21-73586283-602609370-682003330-1000\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_CURRENT_USER\\Software\\Microsoft\\OLE

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\OLE

HKEY_USERS\\S-1-5-21-73586283-602609370-682003330-1000\\Software\\Microsoft\\OLE

HKEY_CURRENT_USER\\SYSTEM\\CurrentControlSet\\Control\\Lsa

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa

HKEY_USERS\\S-1-5-21-73586283-602609370-682003330-1000\\SYSTEM\\CurrentControlSet\\Control\\Lsa

4)通过修改hosts文件，禁止用户访问安全软件厂商的下列网站：

www.symantec.com

securityresponse.symantec.com

symantec.com

www.sophos.com

sophos.com

www.mcafee.com

mcafee.com

liveupdate.symantecliveupdate.com

www.viruslist.com

viruslist.com

viruslist.com

f-secure.com

www.f-secure.com

kaspersky.com

www.avp.com

www.kaspersky.com

avp.com

www.networkassociates.com

networkassociates.com

www.ca.com

ca.com

mast.mcafee.com

my-etrust.com

www.my-etrust.com

download.mcafee.com

dispatch.mcafee.com

secure.nai.com

nai.com

www.nai.com

update.symantec.com

updates.symantec.com

us.mcafee.com

liveupdate.symantec.com

customer.symantec.com

rads.mcafee.com

trendmicro.com

www.microsoft.com

www.trendmicro.com

5)在下列扩展名的文件中收集邮件地址：

.wab

.pl

.adb

.tbb

.dbx

.asp

.php

.sht

.htm

.txt

6)取下面的某一行做为邮件的正文：

Here are your banks documents.

The original message was included as an attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

The message contains Unicode characters and has been sent as a binary attachment.

Mail transaction failed. Partial message is available.