MSN骗子（Worm.MSN.funny）病毒解决方案

知识库编号： RSV0512300

内容分类： 蠕虫病毒

关键词： MSN骗子;Worm.MSN.funny

适用操作系统：Windows 操作系统

适用操作系统补丁版本：全部补丁适用

MSN骗子（Worm.MSN.funny）病毒资料及解决方案。

2004年10月10日，瑞星全球反病毒监测网截获了一个传播速度极快的蠕虫病毒，它可以通过QQ和MSN传播，向线上好友发送“FUNNY.EXE”文件，用户点击后就会中毒。病毒会屏蔽937个主流网站，可能造成Win98崩溃。并且，此病毒会利用MSN、QQ等疯狂发送信息，很有可能借以推广某网站。

瑞星反病毒专家提醒说，当用户收到QQ、MSN好友发来的可疑文件时，一定要先用最新版本的杀毒软件进行杀毒，版本16.47.30以上的瑞星杀毒软件可以彻底清除此病毒。此外，瑞星还发布了免费的“MSN骗子”病毒专杀工具，及“QQ病毒”的专杀工具。

病毒评估

1．病毒中文名：MSN骗子

2．病毒英文名：Worm.MSN.funny

3．病毒类型：蠕虫病毒

4．病毒危险等级：★★★★

5．病毒传播途径：QQ/MSN 即时通讯工具

6．病毒依赖系统：Windows 9X/NT/2000/XP

病毒的破坏

1．在Windows 2000/XP系统下，病毒会修改系统文件HOSTS，屏蔽937个网站，使用户登陆这些网站时会转向www.**78p.com，造成用户无法正常上网浏览。

2．在Windows 98系统下，病毒会替换系统文件Rundll32.exe，可能造成系统不能关机，进而崩溃。

3．利用MSN、QQ疯狂发送广告信息，诱骗用户登陆www.**78p.com网站。

4．向MSN、QQ好友发送“FUNNY.EXE”文件，传播自身。

技术分析报告

1．该病毒使用Visual Basic语言编写，用ASPack2.12加过壳。

2．运行后，病毒会把自己复制到WINDOWS目录下，病毒文件名为“Rundll32.exe”，再将自己拷贝几份到系统目录下，文件名分别为IEXPLORER.EXE，explorer.exe。

3．修改注册表实现随机自启动。

4．病毒运行之后，几个进程会同时运行，形成双进程保护，在任务管理器里很难结束。

5．向QQ、MSN好友发送“一家新开的酒吧，晚上聚聚，这里有介绍http://www.**78p.com,记得给我电话”，“朋友，多注意休息啊，可以到这里放松放松哦http://www.**78p.com”，“我们也来俗一把如何，看MM去，http://www.**78p.com，够味！呵呵！”，“日本人在南京大屠杀的铁证!坚决抵制日货 http://www.**78p.com”，“对中国威胁最大的十个国家!列表http://www.**78p.com”，“我见过最漂亮的视频MM (不看可别后悔), http://www.**78p.com”，“《中国农民调查》页页血泪，惊动中央 转自网易,http://www.**78p.com”。

6．向MSN、QQ好友发送名为FUNNY.EXE的文件，这就是病毒。

7．如果用户使用WIN 2000/XP系统，病毒会修改HOSTS文件，屏蔽937个主流网站，使用户登陆这些网站时会自动转向http://www.**78p.com。

8．如果用户使用WIN 98系统，病毒会覆盖系统文件Rundll32.exe，可能导致系统异常。如果正在运行则不能正常关机，如果重启的话不能进入桌面，所有操作都不能进行。

解决方案

1、瑞星杀毒软件16.47.30及以上版本可以彻底查杀“MSN骗子”病毒。

2、使用专杀工具

鉴于该病毒的特性，瑞星公司还为手中暂时没有杀毒软件的用户提供了免费的病毒专杀工具，“MSN骗子”病毒专杀工具下载地址：http://it.rising.com.cn/service/technology/RS_MSN.htm。“QQ病毒”专杀工具下载地址为http://it.rising.com.cn/service/technology/RS_QQMsender.htm。