Worm.Novarg.ae

2008-02-23 09:20:19来源：互联网阅读 ()

病毒名称: Worm.Novarg.ae 类别：蠕虫病毒病毒资料：破坏方法：

蠕虫病毒Worm.Novarg的变种.

病毒行为:

病毒运行后将自己复制到％system％目录下,文件名为:
LSASRV.EXE并在注册表

HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run
中加入自己的键
"lsass"=％system％\Lsasrv.exe
以达到随系统启动的目的.

病毒第一次运行时,将生成一个随机数据的文件,并用notepad打开.以迷惑用户.
病毒随后开始主流程,以实现以下任务

1.修改hosts文件:

病毒将以下网址加入hosts文件中,并使其指向127.0.0.1 以使用中毒后的系统访问不了这些网站.

symantec.com
www.sophos.com
www.McAfee.com
liveupdate.symantecliveupdate.com
www.viruslist.com
viruslist.com
www.f-secure.com
kASPersky-labs.com
www.my-etrust.com
grisoft.com
....

2.p2p共享目录传播

病毒将从注册表中读取一些p2p软件的共享目录,并将自己复制过去.
文件名为:

icq2004-final
activation_crack
K-LiteCodecPack2.34a
dcom_patches
adultpasswds
winXP_patch
Ad-awareref01R349
avpprokey
....

扩展名为:

scr,pif,exe,com
...

3.邮件传播

病毒遍历Local Settings\Temporary Internet Files目录,及在所有硬盘中搜索下以下扩展名的文件：

txt,htmb,PHPq,cgiq,wab....并尝试从中提取email地址向其发送病毒邮件.
病毒也将从Software\Microsoft\WAB\WAB4\Wab中读取当前用户使用的通讯簿文件.获取email地址.

4.黑名单

病毒遍历系统进程列表,当发现进程名中带有以下字串的进程时将其结束.

msblast.exe
zapro.exe
navw32.exe
navapw32.exe
zonealarm.exe
outpost.exe
wincfg32.exe
PandaAVEngine.exe
....
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2005-1-19

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有