Worm.Novarg.r

2008-02-23 09:29:05来源：互联网阅读 ()

病毒名称: Worm.Novarg.r 类别：蠕虫病毒资料：破坏方法：

一个蠕虫病毒

病毒行为：

病毒运行后，将首先从注册表以下键中读取SMTP服务器地址以备发送邮件时使用
HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager
\Accounts
及HKEY_CURRENT_USERSoftware\Microsoft\Office\Outlook
\OMI Account Manager\Accounts
病毒将自己复制到％WINDOWS％及％SYSTEM％目录下，文件名分别为：RASOR38A.DLL和

winpsd.exe
并在注册表:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run中加入自己的键值
winpsd=％SYSTEM％\winpsd.exe以达到自启动目的。

下载文件：
病毒会尝试连到特定的网站并下载一个文件执行。
病毒判断当前系统时间是否大于2004年8月20号21点。（如果当前时间超过病毒将自动

退出）

否则：
病毒将进行邮件传播。
搜取邮件地址：
1.病毒将从注册表HKEY_CURRENT_USER\Software\Microsoft
\WAB\WAB4\Wab File Name中读出
通讯本文件名。并尝试从中提取email地址。
2.病毒从用户环境串中找到Temporary Internet Files等目录，并尝试从中提取

email地址。
3.病毒搜索以下扩展名的磁盘文件。并尝试从中提取email地址。
.txt,.htmb,.shtl,.PHPq,.ASPd,.dbxn,.tbbg,.adbh,

病毒将不向email中带有以下字串的发送病毒邮件：
avp.syma..icrosof.MSN.hotmail.panda.sopho.borlan.inpris.example.mydomai.

nodomai.

ruslis.gov.gov.mil.foo.berkeley.unix.math.bsd.mit..ibm.com.Google.
.kernel.Linux
...

邮件标题：
photos
邮件正文：
LOL!;))))
邮件附件名：
photos_arc.exe
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2004-8-16

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有