基本信息

传播方式

基本信息

病毒名称：蠕虫病毒Win32.Puce.D

其它名称：W32.Ecup (Symantec), W32/Puce (McAfee), W32/Puce!ITW#1 (WildList), Win32.Puce.D, Win32/Puce.d!Trojan, W32/Puce-H (Sophos), P2P-Worm.Win32.Kapucen.b (Kaspersky)

病毒属性：蠕虫病毒 危害性：低危害 流行程度：中

具体介绍：

病毒特性：

Win32/Puce.D是一种通过点对点（P2P）文件共享传播的蠕虫。蠕虫添加到与P2P文件共享软件相关的目录中的.zip 和 .rar文件中。病毒是大小为106,496字节的Win32可运行程序。

感染方式：

运行时，Puce.D在它的当前目录生成"Log.txt"文件并打开它。

蠕虫复制到%Temp%\\svchost.exe，运行这个副本并退出。它还会修改注册表，以确保每次系统启动时运行这个副本：

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\WindowsServicesStartup = "%Temp%\\svchost.exe 1"

注：'%Temp%'是一个可变的路径。病毒通过查询操作系统来决定当前Temp文件夹的位置。一般在以下路径"C:\\Documents and Settings\\<username>\\Local Settings\\Temp"，或"C:\\WINDOWS\\TEMP"。

Puce.D 还生成一个名为"TINYpUcE" 的互斥体，以确保每次只有一个副本运行。

传播方式

通过文件共享传播（ZIP和RAR文件）

Puce.D搜索C:\\ 到 E:\\ 驱动器中以下位置的.rar 和 .zip文件：

\\Program files\\emule\\incoming

\\Download

\\Téléchargement

\\Archivos de programa\\emule\\incoming

\\Program Files\\Kazaa Lite K++\\My Shared Folder

\\Program files\\KMD\\My Shared Folder

\\Program files\\KaZaA Lite\\My Shared Folder

\\Program files\\Morpheus\\My Shared Folder

\\Program files\\BearShare\\Shared

\\Program files\\Edonkey2000\\Incoming

\\My Downloads

\\My Shared Folder

\\Program files\\appleJuice\\incoming

\\Program files\\Gnucleus\\Downloads

\\Program files\\Grokster\\My Grokster

\\Program files\\ICQ\\shared files

\\Program files\\KaZaA\\My Shared Folder

\\Program files\\LimeWire\\Shared

\\Program files\\Overnet\\incoming

\\Program files\\Shareaza\\Downloads

\\Program files\\Swaptor\\Download

\\Program files\\WinMX\\My Shared Folder

\\Program files\\Tesla\\Files

\\Program files\\XoloX\\Downloads

\\Program files\\Rapigator\\Share

它还会查找C:\\ to G:\\ 驱动器的以下位置：

\\Incoming

Puce.D添加"setup.exe"到.rar文件。蠕虫尝试添加"Setup.exe"到.zip 文件。如果.zip 文件已经包含了一个相同的文件，那么蠕虫就会尝试添加"Install.exe"文件，最后保存为"_Run_Me_First.exe"。如果.zip文件包含这三个文件，蠕虫就会回避这个文件，不再添加病毒副本。蠕虫还会回避包含"_trash.tmp"文件的任意.rar 或 .zip文件。

添加到.rar 或 .zip文件后，蠕虫会添加一个空文件"_trash.tmp" 用作标记。Puce.D还会重命名文件：

<filename> updated-fixed <mm>-<yyyy>.<extension>

这里的<filename> 是原始文件名，<mm> 是系统当前月份，<yyyy> 是系统当前年份，<extension> 是.rar 或 .zip 文件扩展名。

例如，"test.zip"文件，新的文件名可能是"test updated-fixed 08-2006.zip"。

添加到文件后，Puce.D停止行为大约15分钟，随后再次重复传播循环，将病毒添加到任一新发现的文件。

清除：

KILL安全胄甲Vet 12.6.2301版本可检测/清除此病毒。