Worm.PSW.CqSys

2008-02-23 09:21:47来源：互联网阅读 ()

病毒名称: Worm.PSW.CqSys 类别：蠕虫病毒病毒资料：破坏方法：

这是恶意网站http://flash2.***533.net传播出来的病毒，集网络传播和偷传奇密码于一体。

病毒大小：11184

1.用户浏览上述网址，如果系统存在漏洞，网页上的恶意代码下载病毒程序"b.sys"到用户机器中，并修改注册表项 "HKCR\.sys"，使"b.sys"像正常EXE文件那样运行起来。

2.病毒释放自身拷贝为c:\cmd.exe，属性为只读、隐藏。
覆盖系统文件％SYSTEM％\rundll32.exe 对于win2000和winXP用户，系统文件保护程序会弹出对话框，提示系统文件已经被修改。

3. 修改注册表。

HKEY_CLASSES_ROOT\exefile\shell\open\command
(默认) : C:\cmd.exe ％1 ％*
当用户运行任何程序都会激活病毒。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run
LoadPowerProfile : ％SYSTEM％\Rundll32.exe

4.局域网传播。

病毒枚举注册表下列键，

Software\Microsoft\Windows\CurrentVersion\Network
\LanMan

取得所有共享路径，在每个路径下释放两份自身拷贝，分别为“病毒专杀.exe”和“周杰伦演唱会.exe”。

这两个名称很具有诱惑性，很容易使网络上的用户下载运行，加快感染速度。

5.病毒疯狂地查找下列窗口

legend of mir2
赤月传奇1065
"传奇客户端"
"西部圣域VI(47区)"

取得密码后保存到"C:\cqsys.sys"，通过邮件服务器 "202.106.182.141" 发送到指定邮箱。

6.查找聊天窗口，在消息末尾追加下列消息

“ 向你介绍一个好看的动画网：http://flash2.***533.net”

如果用户感染上述病毒，说明您的系统存在漏洞，请给系统打上相应最新的补丁。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2003-11-5

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有