大无极变种E(Worm.SoBig.E)病毒档案

知识库编号： RSV0512278

内容分类： 蠕虫病毒

关键词： 大无级;sobig.e

适用操作系统：Windows 操作系统

适用操作系统补丁版本：全部补丁适用

大无极变种E(Worm.SoBig.E)病毒档案

病毒评估

警惕程度：★★★★

发作时间：随机

病毒类型：蠕虫病毒

传播方式：邮件/局域网

感染对象：局域网

依赖系统: WIN9X//NT/2000/XP?

病毒介绍

Worm.SoBig.E于2003年6月26日被瑞星全球反病毒监测网截获，该病毒是目前大无极病毒家族中最厉害的一个变种，其传播范围与传播速度都超过了其它变种。病毒运行后会将自身复制到系统目录下，并修改注册表进行自启动。然后感染局域网中的计算机，将自己放入启动目录，导致全网带毒，病毒还会搜索用户的mail地址，向外大量发送邮件，使网络瘫痪。

病毒的发现与清除

此病毒会有如下特征，如果用户发现计算机中有这些特征，则很有可能中了此病毒：

1.病毒运行时会将自身拷贝到：%Windir%\\目录下命名为：winssk32.exe，然后在该目录下建立一个名为msrrf.dat的病毒配置文件。用户可以查找计算机，找到这两个文件后将之删除。

注意：%Windir%是一个变量，它指的是系统安装目录，默认是：“C:\\Windows”或：“c:\\Winnt”,也可以是用户在安装操作系统时指定的其它目录。

2.病毒运行时会修改注册表的自启动项：HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run，在其中加入名称为：SSK Service，　内容为： %Windir%\\winssk32.exe的键值，以便下次系统启动时病毒能自动运行。用户可以用REGEDIT工具，将该病毒键值直接删除，使病毒无法启动。

3.病毒运行时会在内存中产生一个名为：winssk32的线程。NT以上操作系统的用户可以用任务管理器直接将该进程杀掉，9X操作系统的用户则只能用第三方软件如PROCVIEW等杀掉该病毒进程。

4.病毒会搜索局域网中的计算机，如果发现有默认共享的计算机，则病毒会将自身拷贝到这些计算机中的：Windows\\All Users\\Start Menu\\Programs\\StartUp、Documents and Settings\\All Users\\Start Menu\\Programs\\Startup目录中。用户可以检查一下这些目录，看是否存在上面提到的病毒体，如果有则可以直接清除。

5.病毒会搜索磁盘中的*.web,*.txt,*.dbx*.htm,*.html及*.eml文件，并从中提取出mail地址进行邮件传播，

邮件的发信人可能为：support@yahoo.com

邮件的标题可能为：

· Re: Application

· Re: Movie

· Re: Movies

· Re: Submitted

· Re: ScRe:ensaver

· Re: Documents

· Re: Re: Application ref 003644

· Re: Re: Document

· Your application

· Application.pif

· Applications.pif

· movie.pif

· Screensaver.scr

· submited.pif

· new document.pif

· Re: document.pif

· 004448554.pif

· Referer.pif

邮件的附件可能为：

·your_details.zip

·application.zip

·document.zip

·screensaver.zip

·movie.zip

没有安装杀毒软件的用户如果收到这样的邮件，则可以直接删除这此邮件。

用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了大无极变种E(Worm.SoBig.E)病毒。

解决方案

1、瑞星杀毒软件15.41.20以上的版本可以彻底清除此病毒。

2、下载“大无级”（Worm.Sobig）病毒专杀工具进行查杀，下载链接地址http://it.rising.com.cn/service/technology/SoBig_download.htm