一、VBSLoveLetter@MM 这是一个Loveletter病毒家族的变种，该病毒通过下面的邮件传播： 主题：: Where are you? 消息主体： This is my pic in the beach! 附件： JENNIFERLOPEZ_NAKEDJPGvbs VBSLCN@mm还安装文件Cih_xe，该文件是CIH病毒的安装器，并企图运行CIH病毒。 当执行时，病毒VBSLCN@mm将试图完成下面的工作： 1、修改注册键中的"Timeout" 键值，这样当 诵薪铣な奔湎低巢换嵯允鞠�ⅰH缓螅�《舅阉魉�锌捎玫那��鳎�檎揖哂邢铝欣┱姑�奈募�? --扩展名为vbe， jpg， jpeg 的文件被替换成 《镜母北尽? --扩展名为js， jse， ss， wsh， sct， 和hta 的文件将被 《靖北咎婊唬�⑶椅募�睦┱姑�崽砑?vbs 。例如：原文件Fwsh 变成F --扩展名为p2 和p3的文件被复制，副本的扩展名中将添加vbs的后缀，原文件被标记为隐藏。 2、创建下面的注册键： HKEY_CURRENT_USER/Software/JENNIFFERLOPEZ_NAKED/Worm made in algeria 3、添加注册键值： HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run 值：WORM w exe //JENNIFERLOPEZ_NAKEDJPGvbs % 以便每次windows启动都运行该病毒。 4、检查注册键： HKEY_CURRENT_USER/Software/JENNIFFERLOPEZ_NAKED的值是否为：mailed = 1 如果不是，则执行发送邮件功能，发送完邮件，将其值设为1。 5、蠕虫编写十六进制的文件并将其保存为/Windows/Cih_xe。该文件包含一个CIH病毒的安装器，之后执行该文件。一旦执行，病毒将驻留内存（win98/me），并感染PE可执行文件。 二、WNhtm WNimda 是一个新型蠕虫，也是一个病毒，它通过email、共享网络资源、IIS服务器传播。同时它也是一个感染本地文件的新型病毒。 WNimda运行时，会搜索本地硬盘中的HTM和HTML文件和EXCHANGE邮箱，从中找到EMAIL地址，并向这些地址发邮件；搜索网络共享资源，并试图将带毒邮件放入别人的共享目录中；利用CodeBlue病毒的方法，攻击随机的IP地址，如果是IIS服务器，并未安装补丁，就会中毒。该蠕虫用它自己的的SMTP服务器去发出邮件。同时用已经配置好的DNS获得一个mail服务器的地址。 WNimda运行时，会查找本地的HTM/ASP文件，将生成的带毒邮件放入这些文件中，并加入java 疟尽U庋��康备猛�潮淮蚩�保�突嶙远�蚩�萌径镜膔l。 WNimda感染本地PE文件时，有两种方法，一种是查找所械腤INDOWS 应用程序(在HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Currentversion/App Paths中)，并试图感染之，但不感染WINZIPEXE；第二种方法搜索所有文件，并试图感染之。被感染的文件会增大约57KB。 如果用户游览了一个已经被感染的web 页时，就会被提示下载一个l(Outlook Express)的电子邮件文件，该邮件的MIME头是一个非正常的MIME头，并且它包含一个附件，即此蠕虫。这种邮件也可能是别人通过网络共享存入你的计算机中，也可能是在别人的共享目录中，无论如何，只要你在WINDOWS的资源管理器中选中该文件，WINDOWS将自动预览该文件，由于Outlook Express的一个漏洞，导致蠕虫自动运行，因此即使你不打开文件，也可能中毒，相关信息请参见微软安全网站：-asp，同时，该漏洞已有安全补丁：。 当这个蠕虫执行的时候，它会在WINDOWS目录下生成MMCEXE文件，并将其属性改为系统、隐藏；它会用自己覆盖SYSTEM目录下的RICHEDDLL，这个文件是OFFICE套件运行的必备库，WINDOWS的写字板等也要用到这个动态库，任何要使用这个动态库的程序试图启动时，都会激活该它；它会将自己复制到SYSTEM目录下，并改名为LOADEXE，同时将SYSTEMINI文件中的SHELL项改为“explorer．exe load．exe － dontrunold”，这样，在系统每次启动时，将自动运行它；这个蠕虫会在已经感染的计算机共享所有本地硬盘，同时，这个蠕虫会以超级管理员的权限建立一个guest的访问帐号，以允许别人进入本地的系统。这个蠕虫改变Explorer的设置这样就让它无法显示隐藏文件和已知文件的扩展名 三、WE WElK3326感染共享文件、映像驱动器，同时该病毒还会感染本机硬盘的/Windows/System目录中的文件。 如果病毒是在Windows NT/2000系统中被激活，当第一次被激活后，病毒变会蹦溃。 如果病毒在Windows 9x系统中被激活并且本机有带写保护的网络映像，很短的时间后，病毒将使机器当掉。 病毒感染文件后，文件的大小并不改变。 WElK3326在感染文件时可能是空的感染源也可能是“添加器”，这就意味着，如果可能，病毒将拒绝将自身代码添加到宿主文件内，免得文件的尺寸变大。 一旦病毒被激活，它将创建一个自身的可执行文件后，直接控制对宿主文件。 在/Windows/System目录中创建自身的副本，文件名依不同的系统而不同： 1）Windows 95/98/Me： %System%/Wxe 2）Windows NT/2000： %System%/Wdll 根据不同的操作系统，WElK3326创建不同的不同的注册键： 1）Windows 95/98/Me HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run 值：WQK %System%/Wxe 2）HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Windows 值：AppInit_DLLs %System%/Wdll etween each file that it tries to 四、VBSRedlof@M 此病毒属于脚本类病毒，此病毒感染脚本类型的文件。 此病毒运行时，全盘查找脚本类型的文件{vbs，htm， html等)，如果找到，则将病毒自身加入这些文件的尾部，完成感染。 此病毒感染目录时，还会在一些目录下产生两个文件，一个名为：ini的目录配置文件，一个名为：htt的病毒体文件。 五、WKlez 该病毒基本分为两部分：一部分是狭义上的病毒，它感染PE结构文件，病毒大小约为3K，用汇编语言编写；第二部分是蠕虫大小为56K，它在运行中会释放并运行一个11722字节的带毒的PE文件。第二部分是用VC++编写的，它只可以在WINDOWS 9X或WINDOWS2000上运行，在NT4上无法运行。 它的传播方式有四种： 第一种：通过INTERNET邮件，它搜索当前用户的地址簿文件中的类邮件地址的文本内容，或随机计算邮件地址，通过WINDOWS的SOCKET函数集用SMTP服务器发送自己这个带毒木马，邮件文件是由木马部分形成，并且该邮件会在OUTLOOK EXPRESS下自动执行，它的主题是随机的，但以下几种情况： Hi Hello How are you? Can you help me? We want Where will you go? Congratulations!!! Don't Look at the Some advice on your Free XXX P A free hot porn Why don't reply to me? How about have dinner with me together? 信的正文为： I'm sorry to do so，but it's helpless to say I want a good job，I must support my Now you have seen my technical How much my year-salary now? NO more than $5， What do you think of this fact?Don't call my names，I have no Can you help me? 第二种：通过网络邻居，它搜索所有的网络连接，查找共享目录，将自己的文件放到享目录中，并试图让远程计算机将它作为一个服务启动。 第三种：通过磁盘传播，它创建专门的线程感染磁盘，如果当前日期奇数月的13号，将找到的文件内容进行复制。 第四种：方式病毒感染。 病毒部分的运行过程： 1、解密后面的代码长度258H字节 2、然后病毒在内存中查找KERNEL32模块，并根据名字的检验字找到一大批函数入口，这些函数供后面的代码调用。 3、申请内存，将所有代码拷贝到申请的内存中，并转申请的内存执行。 4、查检有无调试程序（调IsDebugPresent函数），如在调试程序下运行，终止病毒代码，返回到原宿主程序（如果是配套的木马，则返回到操作系统）。 5、启动感染代码，如未在调试程序下运行，在SYSTEM（由GetSystemDirectory）目录感染或建立WQKEXE(WIN9X下)或WQKDLL(NT下)。 6、将当前进程注册为服务进程。 7、创建感染线程，根据系统时间，如果为13号且为3月或9月，感染所有硬盘或网络盘文件。否则感染系统目录。某些条件下创始的感染线程会启动另一个感染线程，直到系统崩溃。 8、如果是NT操作系统，同时感染所有网络邻居。 9、返回宿主或操作系统。 木马部分运行过程： 1、解码所有字符串。 2、改变当前进程访问权限。 3、启动线程1，线程1的作用如下： 检查当前所有进程，如果有以下进程（部分匹配），则终止这些进程： _AVP32， _AVPCC， _AVPPM， ALERTSVC，AMON AVP32，AVPCC，AVPM，N32SCANW，NAVAPSVC， NAVAPW32，NAVLU32，NAVRUNR，NAVW32，NAVWNT， NDD32，NPSSVC，NRESQ32，NSCHED32，NSCHEDNT， NSPLUGIN，SCAN，SMSS 如果是WINDOWS9X系统，将当前程序设为自启动（Software/Microsoft/Windows/CurrentVersion/Run）线程永不终止。 4、启动线程2，作用如下： 复制自己，运行后删除，然后线程终止。 5、在系统目录中创建KRNLEXE，如果是9X，运行它，并将它放入 Software/Microsoft/Windows/CurrentVersion/Run 中自动运行。如果是2000系统， 将它作为Service启动。 6、创建线程3，发送EMAIL。 创建线程4，感染网络所有共享文件，每8小时搜索一次。 创建线程5，搜索磁盘文件。 创建线程6，检查当前日期是否为奇数月的13号，如是，将所有文件复制一次，线程5小时运行一次，永不退出。 六、WNl 感染途径： 该病毒是一种传染途径很多的病毒，并且尝试利用多种已知系统漏洞，于第一版相似，它通过以下途径感染 l 电子邮件（附件） l 局域网共享驱动器 l 利用没有安装Service Pack的IIS(Internet Information Server) l 通过文件感染 利用了如下的系统漏洞： l MIME漏洞，可以在没有得到用户许可的情况下自动执行附件 l IIS漏洞，使之可以被上载恶意代码与前版本的不同： WNE是NA的新变种，它修改了以前版本的一些错误，并且加入了对付多种对抗反病毒软件的设计，它与第一版的主要区别有： l 附件名改名为Sxe l 复制本身到系统目录下的名称改为Cxe（原来为xe） l 释放出的动态库名称变更为Hdll 建议用户做如下系统升级，以便防患于未然： 升级到Internet Explorer 01 SP2 或 升级到Internet Explorer 5 SP2 或 升级到Internet Explorer 0 下载并安装升级包，NT4用户使用NT4 Service Pack 6a，Windows 2000用户使用 Windows 2000 Service Pack 2，并且到微软公司的主页（或用Windows Update）下载安全补丁。 注意磁盘共享的权限、口令设置，不要让所有用户对硬盘驱动器都可以读写不要打开来历不明的邮件附件，尤其是可执行文件。 七、WKl 新的Klez变种在以前的基础上增加了更多的工作线程，并且在驻留系统后可能会结束其它进程并且删除相应文件，所以有较大的破坏，提请用户注意！ 蠕虫的流程： 蠕虫使用AdjustTokenPrivileges调整自己的特权， 拷贝自己的一个副本到系统目录下，名为win**** 修改注册表，向SCM数据库中添加新的服务。 复制自己并运行，然后删除。 调用StartServiceCtrlDispatcher函数。 服务创建下面的线程。 结束。 第一个线程： 写注册表 遍历系统进程，结束正在运行的进程并删除进程的磁盘文件。 第二个线程： 发 第三个线程： 遍历本地网络。 第四个线程： 注册表操作 第六个线程： 搜索特定目录 第七个线程： 搜本地磁盘。 第八个线程： 搜索磁盘文。 第五个线程： 复制自己，运行后删除。 信件主题可能为以下内容： Hi， Hello， Re: Fw: Undeliverable mail--"" Return how are you Let's be friends Darling Don't drink too much your password Honey Some questions Please try again welcome to my hometown The Garden of Eden Introduction on ADSL Meeting notice questionnaire Congratulations Sos! Japanese girl VS playboy Look，my beautiful girl friend Eager to see you spice girls' vocal concert Japanese lass' sexy pictures 信件携带的附件虚假扩展名可能为以下之一： txt htm html wab doc xls jpg cpp c pas mpg mpeg bak mp3 真实扩展名为EXE SCR PIF BAT之一。 病毒体内有以下加密信息： Win32 Klez V0 & Win32 Elkern V1，(There nick name is Twin Virus*^__^*) Copyright，made in Asia，announcement: I will try my best to protect the user from some vicious virus，Funlove，Sircam，Nimda，CodeRed and even include KX Pitiful AVers，can't Elkern 0 & 1 work on Win 2K&XP?Plz clear your Well paid jobs are wanted Poor life should be unblessed Don't accuse Please accuse the unfair shit world 解决方法，本病毒无法手工杀毒，只能升级杀毒软件。并且由于会结束进程，所以建议用户在DOS下用杀毒软件清除。 八、SExploit 此病毒利用脚本的SCAPE功能将自身加密，以达到隐藏自己的目的 此病毒利用”万花谷病毒”的技术来破坏系统的正常使用 将IE的首页通过系统注册表项 HKEY_LOCAL_CURRENT_USER//Software//Microsoft//Internet Explorer//Main//Start Page"，设置成为:” [url][/url]” 为了达到破坏性，该病毒对系统的注册表做了如下的修改： 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//Explorer//NoRun的修改使系统没有”运行”菜单。 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//Explorer//NoClose的修改使系统没有” 关闭系统”项目 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//Explorer//NoLogOff的修改使系统没有”注销”项目 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//Explorer//NoDrives的修改使系统没有所有的逻辑驱动器 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//System//DisableRegistryTools的修改使系统不能使用注册表的编辑工具REGEDIT 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//Explorer//NoDesktop的修改使系统没有桌面 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//WinOldApp//Disabled的修改使系统禁止运行所有的DOS应用程序 通过系统注册表项HKCU//Software//Microsoft//Windows//CurrentVersion//Policies//WinOldApp//Disabled的修改使系统不能启动到"实模式（传统的DOS模式）"下 通过系统注册表项"HKLM//Software//Microsoft//Windows//CurrentVersion//Winlogon//LegalNoticeCaption的修改使系统登录时显示一个登录窗口，此窗口的标题为:” HUNK提醒您中了※混客绝情炸弹※QQ:5604160” 通过系统注册表项HKLM//Software//Microsoft//Windows//CurrentVersion//Winlogon//LegalNoticeText的修改使系统登录时显示一个登录窗口，此窗口内的文字为:” HUNK提醒您中了※混客绝情炸弹※QQ:5604160” 通过系统注册表项HKLM//Software//Microsoft//Internet Explorer//Main//Window Title的修改使系统在打开所有的IE窗口时， 窗口的标题为:” HUNK提醒您中了※混客绝情炸弹※QQ:5604160” 九、WFunL 这是WIN32类型的病毒，它可以感染Windows 9x 和Windows NT 0操作系统。它感染所有WIN32类型的文件（PE文件），如Windows 和 Program Files 目录及其子目录中的扩展名为EXE， SCR， and OCX 的文件。该病毒搜索所有具有写访问的网络共享文件夹并感染那里的所有的文件。该病毒同时能够修补NT环境的完整性检测，以便能够感染系统文件。 病毒中有'~Fun Loving Criminal~'字样。 该病毒没有故意的破坏性，但是由于NT系统安全性很差而可能造成的破坏还是应当引起注意的。 同一个简单的添加一样，Win32/F4099将它的代码复制到宿主文件的最后一个扇区的结尾，然后，它修改PE文件头信息以显示新的扇区大小，使扇区的特征适应病毒的需要，同时病毒修改原文件入口点的程序代码以便执行病毒代码。 当一个染毒程序被运行，病毒代码程序获得系统控制权，Win32/F4099 病毒在系统目录下创建FLCSSEXE文件，并从染毒宿主文件的最后提取出病毒代码，将其写入该文件中，然后FLCSSEXE被执行。 如果是在NT的许可权限下运行，FLCSSEXE会将自身像一个服务程序一样安装到NT机器上。它会以"FLC"显示在标准的NT服务列表中，并且被设置为在每次启动时自动运行此服务。在Windows 9X下，它像一个隐含程序一样运行，在任务列表中是不可见的。 在病毒程序第一次运行时，该病毒会按照一定的时间间隔，周期性地检测每一个驱动器上的EXE，SCR（屏保程序）和OCX（ActiveX control）文件，找到相应的文件就感染它们。它还搜索在网络上可使用的共享资源，并感染任何有访问权限的同一类型的文件。因此，它可以在机器间完全开放权限的共享文件上非常快地传播。该病毒检测以下文件名且不感染它们：ALER*， AMON*， _AVP*， AVP3*， AVPM*， F-PR*， NAVW*， SCAN*， SMSS*， DDHE*， DPLA*， MPLA*。 尽管该病毒对数据没有直接的破坏性，但是在NT下，Win32/F4099 病毒还是对NTOSKRNLEXE 文件做了一个小的修改（patch），使得文件的许可请求总是返回允许访问（access allowed），这意味着被感染机器的安全已受到了极大地威胁。只要是在被修改的机器上，所有的用户都拥有了对每一个文件的完全控制访问权，即使是在系统中可能拥有最低权限的GUEST，也能读取或修改所有文件，包括通常只有管理员才能访问的文件。在NT启动时，NTLDR将检测NTOSKRNLEXE 的完整性，所以病毒也修改NTLDR，因此NTLDR将允许系统加载修改后的NTOSKRNL文件。这种修改只能在某些NT服务包（service packs）中起作用，但是不管当前机器的SP级别病毒都会申请修改程序。在感染FLC病毒的NT机器上清除病毒后，需要用备份文件对这些被修改的文件进行恢复，或者重新安装这些文件。 如果FLCSSEXE 运行在DOS下，病毒将显示'~Fun Loving Criminal~'字串，然后它试图通过键盘控制器重新启动系统。这大概是希望Windows被加载且病毒可能有另一个机会去执行。这种尝试经常失败，而计算机则被锁。 十、WS 这是一个危险的常驻内存寄生病毒。它只在WIN95/98下进行复制，而且会感染WIN32可执行文件。当一个受染文件运行的时候，病毒会自我安装到WINDOWS内存中。在感染的时候，病毒会增加文件最后区的空间病把自己写到这里。 在七月一日，病毒会破坏硬盘的MBR区病毒终止机器的运行。它会删除MBR载入程序的代码并修改磁盘的分区表格，这样只有一个区间被列出，然后指到MBR区。这种方式的破坏很危险：在DOS装载的时候会被终止。虽然磁盘上的数据没有被破坏，但是这个磁盘区不能被再次访问了。病毒能绕过BIOS防病毒保护程序把自己直接写到硬盘控制器的端口，这样就破坏了MBR区间。由于病毒程序存在缺陷，因此会产生"General Protection Fault"出错信息，这样MBR就会免于受到破坏。 注意：如果在一个文件的最后部分发现字符串ERL，这就能证明此病毒已经感染了这个文件。
