简介

病毒描述

行为分析

简介

病毒名称： Email-Worm.Win32.Luder.a

中文名称： 路德尔

病毒类型： 蠕虫

文件 MD5： D355DB6E05DBC00D20CB71E4E0613115

公开范围： 完全公开

危害等级： 4

文件长度： 17,559 字节

感染系统： Win9X以上系统

加壳工具： UPX 变形

开发工具： Microsoft Visual C++ 6.0

命名对照： McAfee [ W32/Nuwar@MM ] AVG[Downloader.Tibs]

NOD32 [ Win32/Nuwar.M ] DrWeb[Win32.Dref]

病毒描述

该病毒运行后，衍生病毒文件到系统目录下。添加注册表自动运行项以随机引导病毒体。同时在病毒所在文件夹衍生随机命名的病毒文件。此病毒内设 SMTP 功能，以添加自身为附件的形式进行传播。

行为分析

1 、 衍生下列副本与文件：

%System32%\\alsys.exe

2 、 新建注册表键值：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Agent

Value: String: "%WINDOWS%\\System32\\alsys.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Agent

Value: String: "%WINDOWS%\\System32\\alsys.exe"

3 、 修改下列注册表键值，以迫使用户必须手动打开 ICS （ Internet Connection Sharing ）：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\DrWatson\umberOfCrashes

New: DWORD: 1 (0x1)

Old: DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\SharedAccess\\Start

New: DWORD: 4 (0x4)

Old: DWORD: 3 (0x3)

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\SharedAccess\\Start

New: DWORD: 4 (0x4)

Old: DWORD: 3 (0x3)

4 、 E-mail 形式可能为以下内容：

主题 : { 其中之一 }

Happiness And Continued Success!

Baby New Year!

Warm New Year Hug!

Happy Times And Happy Memories!

Best Wishes For A Happy New Year!

邮件内容 :

{ 空 }

附件内容 : { 其中之一 }

postcard.exe

Postcard.exe

greeting card.exe

Greeting Card.exe

greeting postcard.exe

Greeting Postcard.exe

5 、 病毒试图结束包含下列字符串的进程：

Blackice

f-pro

firewall

hijack

lockdown

mcafee

msconfig

nod32

reged

taskmgr

troja

vsmon

zonea

zpybot

6 、 连接某服务器地址，检测时已失效：

81.177.3.92 （以色列） TCP http[SYN] DstPort[80]

注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt\\System32 ， windows95/98/me 中默认的安装路径是 C:\\Windows\\System ， windowsXP 中默认的安装路径是 C:\\Windows\\System32 。

--------------------------------------------------------------------------------

清除方案：

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程

alsys.exe

(2) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\

CurrentVersion\\Run\\Agent

Value: String: "%WINDOWS%\\System32\\alsys.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\

CurrentVersion\\Run\\Agent

Value: String: "%WINDOWS%\\System32\\alsys.exe"

(3) 删除病毒释放文件

%WINDOWS%\\System32\\alsys.exe