小邮差（Worm.Mimail）病毒档案

知识库编号： RSV0512284

内容分类： 蠕虫病毒

关键词： 小邮差;Worm.Mimail

适用操作系统：Windows 操作系统

适用操作系统补丁版本：全部补丁适用

小邮差（Worm.Mimail）病毒档案。

病毒评估

警惕程度：★★★★

发作时间：随机

病毒类型：蠕虫病毒

传播方式：网络

感染对象：网络

依赖系统: WINDOWS 9X/NT/2000/XP

病毒介绍

2003年8月4日，瑞星全球反病毒监测网截获了一个利用邮件漏洞进行传播的蠕虫病毒—“小邮差 (Worm.Mimail)”，该病毒会随机变换病毒邮件标题，具有极大的诱惑性。该病毒本身被病毒作者用UPX压缩工具压缩过，只有12K大小，向外发送病毒邮件时，不易被用户查觉。病毒运行时会将自身拷贝到系统目录下，并修改注册表进行自启动，在计算机下次启动时，病毒便会自动运行。

病毒会在除了以下扩展名的所有类型的文件中搜索mail地址：".bmp",".jpg",".gif",".exe",".dll",".avi",

".mpg"".mp3",".vxd",".ocx",".psd",".tif",".zip",".rar" “.pdf",".cab",".wav",".com"，如果找到有效的电子邮件地址，则病毒会使用自己的邮件发送引擎发送邮件标题为：“your account ###### ”（######可变串），附件为：Message.zip的病毒邮件，由于病毒利用了微软的漏洞，以至于用户只要预览该病毒邮件，病毒便会自动运行，给用户造成危害。

病毒的发现与清除

此病毒会有如下特征，如果用户发现计算机中有这些特征，则很有可能中了此病毒：

1. 病毒运行后会将名为Videodrv.exe的病毒体复制到windows目录下，并产生多个病毒相关文件：Zip.tmp、Exe.tmp、 Eml.tmp。如果用户发现上述提到的病毒文件，则证明已经被感染，可直接将这些病毒文件删除。

2. 病毒会通过修改注册表的自启动项来进行自启动，病毒会修改： HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run，在其中加入名为：“VideoDriver”的注册表键值，内容是病毒文件所在的路径。用户可以用REGEDIT等注册表编辑工具直接删除病毒产生的这个键值，以防止病毒进行自启动。

3. 病毒会发送邮件标题为：your account ## （##为可变串），附件为：Message.zip的病毒邮件， 同时病毒还利用微软漏洞，使得用户只要预览该邮件就会中毒。另外Message.zip的附件中中有一个Message.htm文件，当用户预览该文件时，病毒便会利用漏洞将名为foo.exe的病毒体复制到Internet临时文件目录中，并将其运行。用户可以先到上面提到的地址打一个邮件漏洞的补丁，以防止病毒运行，然后再查看收件箱中是否有上述提到的邮件，最后将提到的“foo.exe”文件删除。

用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了小邮差（Worm.Mimail）病毒。

解决方案

1、瑞星杀毒软件15.47之后的版本可彻底拦截此病毒。

2、使用小邮差病毒专杀工具进行查杀，下载链接地址http://it.rising.com.cn/service/technology/RS_Mimail.htm