Worm.Bofra.e

2008-02-23 09:34:50来源：互联网阅读 ()

病毒名称: Worm.Bofra.e 类别：普通文件病毒病毒资料：破坏方法：

一个蠕虫病毒

病毒行为：

病毒运行后将自己复制到％system％目录文件名为：<随机字符>32.exe并在注册表

HKLM\Software\Microsoft\Windows\CurrentVersion
\Run中加入自己的键：

Reactor3=％system％\<随机字符>32.exe以达到自启动目的。

病毒驻留内存后做以下动作。

1.删除以下注册表键、

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run\center

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run\reactor

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run\Rhino

2.病毒在1639端口启动一个web服务.

病毒监听1639端口联接，当有联接时病毒服务线程将向对方返回一个带有IFRAME漏洞的页面，当对方IE存在该漏洞时。将导至病毒被自动下载运行。

3.病毒以特定的昵称登录MIRC服务器。

邮件传播：

病毒搜索磁盘文件，并尝试从以下扩展名的文件中提取email地址。并向其发送一封邮件。
wab，pl，adbh，tbbg，dbxn，ASPd，PHPq，shtl，htmb，txt.
注：病毒不对email地址中带有以下串的地址发送邮件。
Linux，kernel，Google，ibm，com，fsf，gnu.mit.e，bsd，math，unix，berkeley
foo，mil，gov，ruslis，nodomai，mydomai，example，inpris，borlan，sopho
panda，hotmail，MSN，icrosof，syma，avp，edu...

邮标内容：

Congratulations! PayPal has sUCcessfully charged $175 to your credit..card.
Your order tracking number is A866DEC0, and your item will be shipped..
within three business days.

DO NOT REPLY TO THIS MESSAGE VIA EMAIL! This email is being sent
by..an
automated message system and the reply will not be received.
Hi! I am looking for new friends. I am from Miami, FL. You can see my
My name is Jane, I am from Miami,With my weblog and last webcam..photos!

注：邮件带有一个指向存在IFRAME漏洞的页面的链接。
如： http:\\xxx.xxx.xxx.xxx:1639:
\WEBCAM.htm "xxx.xxx.xxx.xxx"为邮件发送
者的ip地址（该系统就为染毒系统）
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2003-11-12

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有