简介

描述

行为

清除

简介

病毒名称： Email-Worm.Win32.Locksky.u

中文名称： Locksky.u变种

病毒类型： 邮件蠕虫

文件 MD5： B4A34122E8899A81B28EEC3AF716A5E8

公开范围： 完全公开

危害等级： 中

文件长度： 3,529 字节

感染系统： windows 98 及以上版本

开发工具： Microsoft Visual C++

加壳类型： FSG 2.0

命名对照： Symentec[无]

Mcafee[无]

描述

该病毒属邮件蠕虫类，病毒主要通过发送含有病毒附件的邮件传播，病毒运行后会复制自身到%Windir%下，并会释放病毒相关文件到%system%下，而后病毒修改注册表文件的启动项，达到随系统启动的目的。病毒通过查找windows的地址簿获取邮件地址，发送病毒邮件。病毒还会开启本地端，尝试搜集感染主机的信息，发送给远程恶意用户。该病毒对用户有一定的危害。

行为

行为分析：

1、复制原病毒体到系统目录下，并释放病毒相关文件：

%system%\\msvcrl.dll

%system%\\sachostw.exe

%system%\\intell32.exe

%system%\\sachostc.exe

%system%\\sachosts.exe

%system%\\attrib.ini

%windows%\\sysldr32.exe

%windows%\\sachostx.exe

%windows%\\uninsIU.exe

%windows%\\x8e91e2450.exe.tmp

2、添加注册表项目：

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

健值：字串："HostSrv" = "%Windir%\\sachostx.exe"

3、病毒文件intell32.exe运行后，会在任务栏显示红色图标，并弹出提示信息“your computer is infected !”并更改桌面背景。

4、尝试连接网络，并下载病毒相关文件到本地运行，搜集感染主机的相关信息并发送给恶意者，病毒还会开启以下端口，降低系统安全性：

26027

25947

45812

5、病毒通过查找windows地址簿获取其中的邮件地址，继而发送病毒邮件，其中：

病毒邮件的主题可能为以下之一，随机选取：

Infected messages

Message subject

病毒邮件的正文可能为：

We regret to inform you that your account has been suspended due to the

violation of our site policy, more info is attached.

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒释放的文件：

%system%\\msvcrl.dll

%system%\\sachostw.exe

%system%\\intell32.exe

%system%\\sachostc.exe

%system%\\sachosts.exe

%system%\\attrib.ini

%windows%\\sysldr32.exe

%windows%\\sachostx.exe

%windows%\\uninsIU.exe

%windows%\\x8e91e2450.exe.tmp

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

健值：字串："HostSrv" = "%Windir%\\sachostx.exe"