小心误入爱情森林，恶意网页是帮凶。8月23日下午，瑞星全球病毒监控中心首次截获了一个传染能力极强的恶性QQ病毒――“爱情森林”（Trojan.sckiss）。据瑞星公司的反病毒工程师介绍，此病毒会利用QQ软件，诱惑用户打开一恶意网页，而该网页会自动下载病毒并修改注册表产生破坏。此病毒是已知的第一个利用QQ进行传播并破坏的恶性木马病毒。它利用本机QQ，在用户不知道的情况下向用户的好友发送一句消息：“ 这个你去看看!很好看的”一旦登陆此网站，便会中毒。

基本信息

病毒特色

病毒感染特征

病毒专杀工具介绍

基本信息

病毒类型：木马病毒

发作时间：随机传播方式：邮件/网络/QQ诱骗

感染对象：网络

警惕程度：★★★★

病毒特色

此病毒具有以下四大特色：

一、 利用邮件包装，形成自启动邮件。

病毒的原始文件是一个名为HACK.EXE的木马病毒，病毒作者为了能使病毒“初战告捷”,迅速占领用户计算机，利用了OUTLOOK的邮件漏洞，将原始病毒包装成一个可以预览执行的病毒邮件：s.eml，然后放入一个恶意网页中，等待下载。

二、 利用QQ工具，发送伪装信息。

如果用户不小心点击或预览了病毒邮件，病毒便可执行。病毒执行时会搜索用户的QQ程序，如果用户在线的话，病毒会伪装成用户，给用户的所有在线的好友发送一条用户无法查觉的隐藏信息，此信息的内容为：“ 这个你去看看!很好看的”如果用户的好友在收到了此信息后，因为好奇而点击了此链接，则会进入一个恶意网页。

三、 利用恶意网页帮凶，导致病毒泛

爱情森林病毒

滥。

该恶意网页用JS语言编写，利用了JAVA EXPLOIT漏洞，所以不经用户的允许，便可以悄悄运行自动下载“爱情森林”病毒邮件（s.eml）并执行。然后此恶意网页会修改用户注册表进行破坏，将用户的IE标题改为：“爱情森林”，使用户的“运行”菜单项无法使用,并且将用户的IE默认首页改为：“”，此恶意网页还将此网址加入注册表中的RUN自启动项。这样以来，无论用户启动计算机还是启动IE浏览器，都可以自动链接到恶意网页,感染病毒。四、 侵占系统目录，继续“生生不息”。

“爱情森林”病毒通过QQ发送信息之后，便开始进行本机的感染。病毒首先改名为：“EXPLORER.EXE”，然后将之拷贝到WINDOWS的系统目录（SYSTEM或SYSTEM32）下，这样用户即使发现也不会起疑心，然后病毒修改注册表，在RUN的自启动项中建立一个EXPLORER的键值，将病毒路径加入其中，一旦计算机重启，病毒便可自动运行，再次进行以上感染。

病毒感染特征

（一）病毒特征

该木马程序原始文件名为hack.exe，用Delphi编写，并用UPX进行了压缩。木马程序被运行后会：

1、复制自身到Windows操作系统的system目录(通常为windowssystem)下，并改名为Explorer.exe。由于它和Windows目录下的Explorer文件同名，因此会迷惑用户，使用户误认为这是一个正常的系统文件。

2、修改注册表，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值Explorer="%windowssystem%Explorer.exe",使木马程序可以在开机后自动运行。（其中%windowssystem%为Windows的系统目录）

3、该木马程序还会在站点下载文件update.exe，并执行下载下来的程序，进行其它的破坏活动。 ??

清除方法?? ??

(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。 ??

(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值。 ??

爱情森林病毒

（二）变种一病毒特征

该病毒运行后会：

1、复制两个自己的拷贝到Windows的系统目录(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下，并分别更名为rundll.exe和sysedit32.exe。

2、修改注册表，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加键值intarnet="%windowssystem%rundll.exe"，使木马程序在开机后自动运行(其中%windowssystem%为Windows的系统目录)。

3、修改注册表，修改HKEY_CLASSES_ROOTtxtfileshellopencommand的默认键值为%windowssystem%sysedit32.exe，关联记事本，使用户打开txt文件时木马程序能获得运行机会。

4、该木马会通过QQ程序向其它的QQ用户发送“，你快去看看”的消息，诱导用户浏览含有恶意代码的网页。

5、该木马还会尝试盗取QQ用户的密码并将其发送至指定的邮箱。有趣的是，由于病毒作者使用了一个组件来发送邮件，因此当木马程序执行发送邮件的操作时，该组件可能会弹出两个对话框，其中一个的内容为“220 welcom to coremail system(With Anti-Spam) 2.1”，另外一个对话框为“Cannot open file .mima.txt”。 ??

清除方法?? ??

(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。 ??

(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。 ??

(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为intarnet=%windowssystem%rundll.exe\\"的键值。恢复HKEY_CLASSES_ROOTtxtfileshellopencommand的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹) ??

(4)若根目录下存在文件setup.txt或mima.txt,将其删除。

病毒专杀工具介绍

金山毒霸--SCKISS爱情森林专杀工具 Build 2002.8.28.3

软件大小： 35 KB

软件语言： 简体中文

软件类别： 国产软件 / 免费软件 / 病毒防治

应用平台： Win9x/NT/2000/XP/2003

界面预览： 无

更新时间： 2002-08-29 11:06:30

联 系 人：

开 发 商：

软件介绍：

金山毒霸率先截获并处理“爱情森林”及其两个变种，并制作专杀工具。专杀工具可以完全查杀“爱情森林”及其两个变种：Trojan.SCKiss.176643B、Trojan.SCKiss.178752B、Trojan.SCKiss.126996B。