I-Worm/Dumaru.g

病毒长度：约33 KB

病毒类型：网络蠕虫

影响平台：Win9X/2000/XP/NT/Me

I-Worm/Dumaru.g用自带的SMTP引擎群发邮件，此病毒感染系统后还会置入一个IRC木马程序。从有如下扩展名的文件中搜索邮件地址:.htm;.wab;.html;.dbx;.tbb;.abd，并发送带病毒的邮件。邮件有以下特征：

发件人： "Microsoft" <security@microsoft.com>

主题： Use this patch immediately !

内容：Dear friend , use this Internet Explorer patch now!

There are dangerous virus in the Internet now!

More than 500.000 already infected!

附件：Patch.exe

该病毒也可以感染NTFS格式下的.exe可执行文件。它会监听

TCP 10000

TCP 1001

TCP 2283

端口，并记录键盘操作发送到指定的Mail地址。

传播过程及特征:

1.生成下列文件：

%Windir%\\Dllreg.exe

%System%\\Load32.exe

%System%\\Vxdmgr32.exe

%Startup%\\Rundllw.exe

%Windir%\\Wndrive.exe

%Windir%\\Winload.log

%Windir%\\Guid32.dll

2.修改注册表:

在HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run下添加"load32"="%Windir%\\load32.exe" 键值;

生成HKEY_LOCAL_MACHINE\\SOFTWARE\\SARS并在其下加入一个键"kwmfound"

3.如果病毒感染的是Windows 9X系统，病毒会对系统的初始化文件作如下修改：

在win.ini文件的[windows]中加入run=%Windir%\\dllreg.exe

在system.ini文件的[boot]中加入shell=explorer.exe %System%\\vxdmgr32.exe

4.试图感染所有驱动器中的所有的.EXE文件，但只能感染每个驱动器中根目录下的执行文件。

5.监听TCP10000端口（用以接收远程指令如：创建或移动一个目录、改变端口等操作）TCP1001端口（用以接收远程指令如：执行程序，打开光驱、播放声音文件等）TCP2283端口（用以监听指令，可以迅速地将别一个服务器作为代理服务器）.

6.此蠕虫程序会结束系统的中如下进程：

Agentsvr.exe

Ants.exe

Aplica32.exe

Apvxdwin.exe

Atcon.exe

Atupdater.exe

Atwatch.exe

Avsynmgr.exe

Blackd.exe

Blackice.exe

Cfiadmin.exe

Cfiaudit.exe

Cfinet.exe

Cfinet32.exe

Defwatch.exe

Drwatson.exe

Fast.exe

Frw.exe

Guard.exe

Iamapp.exe

Iamserv.exe

Icload95.exe

Icloadnt.exe

Icmon.exe

Icsupp95.exe

Icsuppnt.exe

Lockdown.exe

Lockdown2000.exe

Luall.exe

Lucomserver.exe

Mcagent.exe

Mcupdate.exe

Mgui.exe

Minilog.exe

Moolive.exe

Msconfig.exe

Mssmmc32.exe

Ndd32.exe

Netstat.exe

Nisserv.exe

Nisum.exe

Nmain.exe

Nprotect.exe

Nsched32.exe

Nvarch16.exe

Pavproxy.exe

Pcciomon.exe

Pcfwallicon.exe

Persfw.exe

Poproxy.exe

Pview95.exe

Regedit.exe

Rtvscn95.exe

Safeweb.exe

Sphinx.exe

Spyxx.exe

Ss3edit.exe

Sysedit.exe

Taumon.exe

Tc.exe

Tca.exe

Tcm.exe

Tds2-98.exe

Tds2-nt.exe

Tds-3.exe

Update.exe

Vpc42.exe

Vptray.exe

Vsecomr.exe

Vshwin32.exe

Vsmain.exe

Vsmon.exe

Vsstat.exe

Watchdog.exe

Webscanx.exe

Wgfe95.exe

Wradmin.exe

Wrctrl.exe

Wrctrl.exe

Zapro.exe

Zatutor.exe

Zauinst.exe

Zonealarm.exe

注：%Windir%为变量，一般为C:\\Windows 或 C:\\Winnt。

%System%为变量，一般为C:\\Windows\\System (Windows 95/98/Me),

C:\\Winnt\\System32 (Windows NT/2000), 或

C:\\Windows\\System32 (Windows XP)。