词条 | "恶邮差"变种U病毒 |
释义 | 病毒信息: 病毒名称: Worm.Supnot.u 中文名称: 恶邮差变种U 威胁级别: 3A 病毒别名: 爱情后门变种V [瑞星] 密码杀手 [江民] 病毒类型: 蠕虫、后门 受影响系统:Win9x/Win2000/Winnt/WinXP/Windows Server 2003 技术特点: · 病毒破坏: 1、发送大量病毒邮件阻塞网络和邮件服务器; 2、释放后门病毒 病毒将在系统中殖入远程后门代码,该代码,将响应远程恶意用户tcp请求建方一个远程 shell进程。(win9x为command.com,NT,WIN2K,WINXP为cmd.exe),可以对本地机器进行完 全控制。 3、释放通过QQ传播的病毒:“Win32.Troj.QQmsgSupnot” 该病毒通过发送诱惑信息导致用户上当,从而中毒,详情请参考该病毒报告。 4、病毒变向感染可执行文件 病毒可能会将EXE文件改名为ZMX文件,并设置属性为“隐藏”和“系统”,如:病毒搜索到 一个名为“Winword.exe”的文件,会将其改名“Winword.zmx”并设置属性“隐藏”和“系 统”,然后释放一个名为“Winword.exe”的病毒复本。 这个功能的条件是:病毒运行后,每隔一小时会检查系统中是否有“网络映射驱动器”和 “可移动驱器”,如果有,侧会进行上述变相的文件感染。 · 发作现象:共享目录会塞满此蠕虫的文件,一般容易辨认 · 系统修改: A、自我复制到 %SYSDIR%\\\\IEXPLORE.EXE %SYSDIR%\\\\kernel66.dll %SYSDIR%\\\\RAVMOND.exe %SYSDIR%\\\\SysBoot.EXE %SYSDIR%\\\\WinDriver.exe %SYSDIR%\\\\winexe.exe %SYSDIR%\\\\WinGate.exe %SYSDIR%\\\\WinHelp.exe %DRIVER%\\\\SysBoot.exe B、病毒将释放一个DLL文件,此文件将在系统中殖入远程后门代码 %SYSDIR%\\\\reg678.dll %SYSDIR%\\\\Task688.dll 病毒将释放一个利用QQ发送消息传播的病毒:"Win32.Troj.QQmsgSupnot",相关文件名目录为: %SYSDIR%internet.exe %SYSDIR%svch0st.exe C、添加以下键值 HKEY_CLASSES_ROOT\\\\exefile\\\\shell\\\\open\\\\command (默认) : %SYSDIR%\\\\WINEXE.EXE "%1" %* HKEY_LOCAL_MACHINE\\\\Software\\\\Microsoft\\\\Windows\\\\Currentversion\\\\Run "WinGate initialize" = "%SYSDIR%\\\\WINGATE.EXE -REMOTESHELL" HKEY_LOCAL_MACHINE\\\\Software\\\\Microsoft\\\\Windows\\\\Currentversion\\\\Run "WinHelp" = "%SYSDIR%\\\\WINHELP.EXE" HKEY_LOCAL_MACHINE\\\\Software\\\\Microsoft\\\\Windows\\\\Currentversion\\\\Run "Remote Procedure Call Locator" = "RUNDLL32.EXE REG678.DLL ONDLL_REG" HKEY_LOCAL_MACHINE\\\\Software\\\\Microsoft\\\\Windows\\\\Currentversion\\\\Run "Program In Windows" = "%SYSDIR%\\\\IEXPLORE.EXE" HKEY_LOCAL_MACHINE\\\\Software\\\\Microsoft\\\\Windows\\\\Currentversion\\\\RunServices "SystemTra" = "%WINDIR%\\\\SYSTRA.EXE /SYSTRA:KERNEL32.DLL" 在win9x下还修改系统文件: WIN.INI [WINDOWS] "RUN" = "RAVMOND.EXE" 在win2k、NT、XP下注册服务: HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Services\\\\ll_reg Display Name = "ll_reg " IMAGEPATH = "RUNDLL32.EXE TASK688.DLL ONDLL_SERVER" HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Services\\\\Windows Management Instrumentation Driver Extension Display Name = "Windows Management Instrumentation Driver Extension" IMAGEPATH = "%SYSTEM%\\\\WINDRIVER.EXE -START_SERVER" 病毒也将在每一个硬盘和可移动盘的根目录下建立一个文件:AUTORUN.INF的文件,内容为: [AUTORUN] Open="%DRIVER%:\\\\SysBoot.EXE" /StartExplorer 其中%DRIVER%为相应的驱动器。 这样在用户打开该驱动器后将运行病毒 D、Windows弱口令密码试探攻击、放出后门程序、盗取密码 E、病毒利用mapi及搜出的email地址,对收信箱里的邮件进行回复(传播)。 邮件标题随机从病毒体内选出 F、当病毒被运行后每隔一定时间发送一次通知邮件给位于163.com的一个信箱,邮件内容为中毒系统的ip地址,以便利用病毒的后门进行控制 解决方案: · 进行升级: 金山公司将于3月12日当天进行升级,该天病毒库可以彻底查杀此病毒,推荐到安全模式查杀; · 使用专杀工具: 用户也可以到http://www.duba.net/download/3/28.shtml免费下载恶邮差专杀工具,并进行该 病毒的清除,推荐到安全模式查杀。 · 手动清除: 该病毒手工清除比较困难,建议使用杀毒软件或专杀工具,推荐到安全模式查杀。 注意:如果您的机器上有“可移动磁盘”和“网络映射驱动器”时,请注意搜索所有的 “*.zmx”文件,找到后请将其后缀改名为exe。推荐使用专杀工具来清除,可以自动恢复被病 毒改名的正常文件。 |
随便看 |
百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。