Worm.Colevo.e

2008-02-23 09:19:00来源：互联网阅读 ()

病毒名称: Worm.Colevo.e 类别：蠕虫病毒病毒资料：破坏方法：

Dephi写的蠕虫，采用PECompact压缩，病毒通过MSN中的邮件地址进行邮件传播病毒通过修改注册表来自启动，相关键值为：

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run\system ％WinDir％\system.exe

HKCU\Software\Microsoft\Windows
\CurrentVersion\Run\1\2\3\4\System
％WinDir％\system.exe

HKCU\Software\Microsoft\Windows
\CurrentVersion\RunSevices\System
％WinDir％\system.exe

HKCU\Software\Microsoft\Windows
\CurrentVersion\RunSevicesOnce\System
％WinDir％\temp.exe

HKLM\Software\Microsoft\Windows
\CurrentVersion\Run\System
％WinDir％\system.exe

HKLM\Software\Microsoft\Windows
\CurrentVersion\Run\1\2\3\4\System
％WinDir％\temp.exe

HKLM\Software\Microsoft\Windows
\CurrentVersion\RunSevices\System
％WinDir％\commands.com

同时病毒修改了下列扩展名的文件关联：
exe、com、bat、pif、hta
以及系统文件win.ini、system.ini的启动项

病毒运行后，复制自己到下列目录，列表如下：

％WINDIR％\COMMAND.EXE
％WINDIR％\SYSTEM.EXE
％WINDIR％\HOT GIRL.SCR
％WINDIR％\ALL USERS.EXE
％WINDIR％\INF.EXE
％WINDIR％\TEMP.EXE
％WINDIR％\INTERNET DOWNLOAD.EXE
％WINDIR％\SHELL.EXE
％WINDIR％\SYSTEM32.EXE
％WINDIR％\SYSTEM64.PIF
％WINDIR％\INTERNET FILE.EXE

％WINDIR％\PART HARD DISK.EXE
％WINDIR％\SYSTEM32\COMMAND.COM
％WINDIR％\SYSTEM32\NET.COM
％WINDIR％\SYSTEM32\WWW.MICROSOFT.COM
％WINDIR％\SYSTEM32\INF.EXE
C:\RECYCLED\EVO MORALES.SCR
病毒通过邮件发送email传播时所发送的email内容为：

标题是：El adelanto de matrix ta gueno?
内容为：
Pablo_Hack
Oye te U paso el programa para entrar a cuentas del messenger, y facilingo te lo paso a voz nomas, prometeme que no se lo pasas a nadie, ya?Respondeme que tal te parecio. Chau?

附件名：hotmailpass.exe

病毒带有后门功能：

运行后病毒打开并监听TCP端口，等待远程控制端的连接
病毒完成其功能后会打开IE，并自动连接到下列连接：

http://***.net/Bolivia/images
/Bolivia.Sept.2K.000.jpg
http://***.bbc.co.uk/olmedia/775000
/images/_778100_morales1.jpg
http://www.***.org/headlines/images
/100700-01.jpg
http://www-i.***.com.ni/archivo/2002/julio
/elmundo/elmundo-20020709-01.jpg
http://www.***.uu.se/mapUChe/indgen
/puntofinal020822.jpg
http://www.***.com/library/images
/uploads/2409-Evo-morales-speaking.jpg
http://www.***.cl/news/img/evom.jpg
http://***.lycos.fr/asocamerlat/evo％20morales_bolivia2.gif
http://***.bbc.co.uk/media/images/38128000
/38128025_020710bolivia300b.jpg
http://www.***.org/noalca/noticias/fotos
/AB_0_039.jpg

即玻利维亚领导人埃瓦.莫里斯的照片
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2003-7-2

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有