Worm.Mail.Smith.e

2008-02-23 09:24:14来源：互联网阅读 ()

病毒名称: Worm.Mail.Smith.e 类别：蠕虫病毒资料：破坏方法：

采用Borland C 写的病毒，通过邮件传播自己，运行后将导致计算机无法正常使用。

病毒运行后有以下行为:

一、修改下列注册表键：

1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run
"WinServer.exe" = "C:\WINDOWS\system32\WinServer.exe"

2.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"WinBios.exe" = "C:\WINDOWS\system32\WinBios.exe"

3.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\RunOnce
"NetBios.exe" = "C:\WINDOWS\system32\NetBios.exe"

4.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\RunOnce
"NetServer.exe" = "C:\WINDOWS\system32\NetServer.exe"

5. HKLM\SOFTWARE\Classes\.inf\(默认) = "txtfile"
原来为：inffile

6. HKLM\SOFTWARE\Classes\.reg\(默认) = "txtfile"
原来为：regfile

7.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System
DisableRegistryTools = 0x1

8.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\EXPlorer
NoRun = 0x1

9.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoDrives = 0x8

10.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoRealMode = 0x1

11.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoLogOff = 0x1

12.HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoSetTaskBar = 0x1

13.HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explore
NoChangeStartMenu = 0x1

14.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoStartMenu = 0x1

15.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoSetFolders = 0x1

16.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoFolderOptions = 0x1

17.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoFind = 0x1

18.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoRecentDocsMenu = 0x1

19.HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main
"Show_URLToolBar" = "no"

20.HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main
"Show_StatusBar" = "no"

21.HKU\.DEFAULT\Control Panel\desktop
"AutoEndTasks" = "no"

22.HKCR\txtfile\shell\open\command\(默认) = "C:\WINDOWS\system32\WinNote.exe"

23.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\WinLogon
"LegalNoticeCaption" = "美丽的丽江"
"LegalNoticeText" = "欢迎进入美丽的丽江！"

二、将自己复制到以下目录：
C:\WINDOWS\system32\WinServer.exe
C:\WINDOWS\system32\Setup.exe
C:\WINDOWS\system32\NetBios.exe
C:\WINDOWS\system32\NetServer.exe

C:\WINDOWS\system32\WinNote.exe
C:\WINDOWS\system32\WinProfile.exe
C:\WINDOWS\system32\WinLoadfile.exe
C:\WINDOWS\system32\WinAuto.exe
C:\WINDOWS\system\WinConfig.exe

三、通过邮件传播自己：
邮件接收用户名为：username@sina.com.cn 、username@263.com.cn、username@163.com、username@126.com、username@263.net、username@yahoo.com.cn、username@sohu.com、username@china.com、username@hotmail.com、username@MSN.com，其中"username"为下列字符串的随机组合：zhang li ling lie le la lao liao ca cai co cu cun can ce bai bi bao bo
bang di da dan dang du dun de ding din e er en eng fu fa fen fan
fong feng hua hao hen huo ha hong ka kan ke ku kong la
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2004-8-27

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有