Worm.Mytob.x

病毒行为

代码

Worm.Mytob.x

处理时间：

威胁级别：★★

中文名称：

病毒类型：蠕虫

影响系统：Win9x / WinNT

病毒行为

这是一个mytob的变种蠕虫，会搜索本地邮件地址，并发送垃圾邮件，造成网络堵塞，并把自身做为附件发送出去。一旦运行本病毒，本机会连接到irc聊天服务器上，接受对方控制，执行后门程序，窃取用户信息。病毒会屏蔽一些计算机安全公司网站，以防止用户升级；并避免向这些公司发送邮件，以防止对方得到病毒样本。

代码

1,把自身拷贝到以下目录：

C:\\funny_pic.scr

C:\\see_this!!.scr

C:\\my_photo2005.scr

%system%\\win32.exe

2,释放自身到以下目录：

C:\\hellmsn.exe

并运行

3,修改注册表,在以下键中设置键“WIN32=win32.exe”

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\OLE

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa

4，建立互斥量：H-E-L-L-B-O-T

保证单个进程的运行

5,修改host文件，阻止访问一些网站

127.0.0.1 www.trendmicro.com

127.0.0.1 www.trendmicro.com

127.0.0.1 trendmicro.com'

127.0.0.1 rads.mcafee.com'

127.0.0.1 customer.symantec.com

127.0.0.1 liveupdate.symantec.com

127.0.0.1 www.nai.com

127.0.0.1 update.symantec.com

127.0.0.1 www.nai.com

127.0.0.1 nai.com

127.0.0.1 secure.nai.com

127.0.0.1 dispatch.mcafee.com

127.0.0.1 download.mcafee.com

127.0.0.1 www.my-etrust.com

127.0.0.1 www.my-etrust.com

127.0.0.1 my-etrust.com

127.0.0.1 mast.mcafee.com

127.0.0.1 ca.com

127.0.0.1 www.ca.com

127.0.0.1 networkassociates.com

127.0.0.1 www.networkassociates.com

127.0.0.1 avp.com

127.0.0.1 www.kaspersky.com

127.0.0.1 www.avp.com

127.0.0.1 kaspersky.com

127.0.0.1 www.f-secure.com

127.0.0.1 f-secure.com

127.0.0.1 viruslist.com

127.0.0.1 www.viruslist.com

127.0.0.1 liveupdate.symantecliveupdate.com

127.0.0.1 mcafee.com

127.0.0.1 www.mcafee.com

127.0.0.1 updates.symantec.com

127.0.0.1 sophos.com

127.0.0.1 www.symantec.com

127.0.0.1 securityresponse.symantec.com

127.0.0.1 symantec.com

127.0.0.1 www.sophos.com

127.0.0.1 securityresponse.symantec.com

127.0.0.1 www.symantec.com

127.0.0.1 symantec.com

127.0.0.1 securityresponse.symantec.com

127.0.0.1 www.symantec.com

6,建立线程搜索本机上的邮件地址，在具有以下扩展名的文件中查找：

wab

pl

tbb

dbx

asp

php

sht

htm

7,阻止发送到含有以下名称的电子邮件：

info

samples

postmaster

webmaster

noone

nobody

nothing

anyone

your

someone

you

me

bugs

rating

site

contact

soft

no

somebody

privacy

service

help

not

submit

feste

ca

gold_certs

page

8,阻止发送到含有以下域名的电子邮件：

foo

mil

gov

ruslis

nodomai

mydomai

example

inpris

borlan

sopho

panda

icrosof

syma

avp

edu

9,邮件内容会出现以下当中的一种：

'Guvf vf n zhygv-cneg zrffntr va ZVZR sbezng.'

'Mail transaction failed. Partial message is available.'

'The message contains Unicode characters and has been sent as a binary attachment.'

'The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.'

'The original message was included as an attachment.'

'Here are your banks documents.'

诱惑拥护打开带毒附件

10，连接到irc聊天服务器，等待远程控制命令。黑客可以控制本计算机，还可以命令本机下载并运行后门程序。