大无级变种F（Worm.Sobig.F）病毒档案

知识库编号： RSV0512279

内容分类： 蠕虫病毒

关键词： 大无级;Sobig.F

适用操作系统：Windows 操作系统

适用操作系统补丁版本：全部补丁适用

大无级变种F（Worm.Sobig.F）病毒档案

病毒评估

警惕程度：★★★★★

发作时间：随机

病毒类型：蠕虫病毒

传播途径：网络/邮件

依赖系统: WIN9X/NT/ 2000/XP

病毒介绍

该病毒有以下三大特性：

一、邮件传播能力非常强。病毒作者在原来病毒的基础上，做了改良，使得“大无极变种F”病毒不但会搜索地址薄中的邮件地址，还能从网页文件中寻找存在的邮件地址，病毒甚至还能直接在邮件中寻找相关的邮件地址，这些特性大大增强了病毒的邮件传播能力，从而使该病毒能在短时间内就大量泛滥。

二、病毒的局域网传播能力很强。病毒运行时会寻找局域网中的其它计算机，找到后便会将自己复制到这些计算机的启动目录，在下次重启时，这些计算机中的病毒便会被自动激活，然后形成连锁反应，同时向外大量传播并迅速耗尽邮件服务器资源。

三、病毒具有自我升级能力。反病毒工程师还发现，该病毒运行时还会通过网络直接与外界的病毒制造者进行沟通，并通过网络直接将自身升级，这样就可以在传播的过程中完成变异，形成一个新的变种病毒，继续在网络上泛滥。

病毒的发现与清除

1. 病毒运行时会参内存中产生一个名为：“WINPPR32”的病毒进程，用户可以用任务管理器（CTRL+SHIFT+ESC）或第三方内存编辑工具来找到该病毒进程，并将这个进程杀掉。

2. 病毒运行时，会将自身复制到系统目录，并命名为：%WINDIR%\\WINPPR32.EXE，用户可以查找该病毒文件，然后将这个病毒文件删除。

注意：%Windir%是一个变量，它指的是操作系统安装目录，默认是：“C:\\Windows”或：“c:\\Winnt”,也可以是用户在安装操作系统时指定的其它目录。%systemdir%是一个变量，它指的是操作系统安装目录中的系统目录，默认是：“C:\\Windows\\system”或：“c:\\Winnt\\system32”。

3. 病毒会修改注册表的HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\项，在其中加入“TrayX ="%WINDIR%\\winppr32.exe /sinc"的病毒键值，用户可以用REGEDIT 工具直接删除该病毒键值来避免病毒的自启动。

4. 病毒会通过网络枚举本地局域网资源并试图将病毒文件复制到系统的c$,d$,e$的Windows\\All Users\\Start Menu\\Programs\\StartUp及Documents and Settings\\All Users\\Start Menu\\Programs\\Startup的目录中,如果用户的计算机是局域网中的计算机，请用户来查看自己的以上目录是否有病毒体，如果有，则可以直接删除病毒文件。

5. 该病毒将使用端口8998/udp向其master发送一个探测报文，作为响应，master将返回一个URL，病毒能从此URL下载文件，master有两个，分别为：A.ROOT-SERVERS.NET或B.ROOT-SERVERS.NET。

6. 病毒带有后门，将打开下列端口：995/udp、996/udp、997/udp、998/udp、999/udp病毒会监听来自这些端口的UDP报文，并分析它，如果是病毒服务发来的升级信息，则病毒用将自己自动更新。

7. 病毒在2003年9月10日会停止传播。

8. 该病毒会以下内容的病毒邮件，用户如果发现，则可以直接将这些邮件删除。

病毒邮件的主题为以下几种可能：

Re: Thank you!

Thank you!

Your details

Re: Details

Re: Re: My details

Re: Approved

Re: Your application

Re: Wicked screensaver

Re: That movie

附件名为以下几种可能：

your_document.pif

document_all.pif

thank_you.pif

your_details.pif

details.pif

document_9446.pif

application.pif

wicked_scr.scr

movie0045.pif

消息正文为以下几种可能：

Please see the attached file for details.

See the attached file for details

用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了大无极变种F（Worm.Sobig.F）病毒。

解决方案

1、瑞星杀毒软件15.49.10以上的版本可以彻底清除此病毒。

2、下载“大无级”（Worm.Sobig）病毒专杀工具进行查杀，下载链接地址http://it.rising.com.cn/service/technology/SoBig_download.htm