病毒别名：[诺顿]W32.Nopir.C [趋势]WORM_NOPIR.B

处理时间：2005-06-09

威胁级别：★

中文名称：诺飞

病毒类型：蠕虫

影响系统：Win9x / WinNT

病毒行为:

这是一个通过P2P软件进行传播的病毒，病毒运行后，会降低系统的安全属性、修改关联、禁止注册表管理器和任务管理器，关闭XP的防火墙。并且会尝试删除本机的媒体文件与RAR压缩文件。

1、病毒会将自身复制到以下目录

%Program Files%\\system prot\\mmsete.exe

%Program Files%\\Outlook Express.sav\\outlookrem.exe

2、如果存在eMule、Kazaa、StreamCas、Gnucleus 等P2P软件，则病毒会以下文件名复制到该软件的共享目录中：

CloneDVD.v2.8.2.1.Cracked-RES.by.Grease.exe

CloneDVD.v2.8.2.1.Cracked

3、添加注册表项

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

"sysmem" = "%Program Files%\\system prot\\mmsete.exe"

"memory" = "%Program Files%\\Outlook Express.sav\\outlookrem.exe"

以在每次系统启动时都能运行病毒

4、修改以下关联

bat

cmd

com

exe

inf

pif

reg

scr

vbs

vbe

使得每运行该扩展名的文件，病毒就会运行，并会弹出以下图片：

5、关闭WinXP Sp2自带的防火墙，并禁止注册表管理器、文件管理器、控制面板、自动更新。

6、尝试删除以下扩展名的文件：

.MP3

.AVI

.MPG

.MPEG

.RAR