W32.Chir.B@mm

2008-02-23 09:36:26来源：互联网阅读 ()

病毒名称: W32.Chir.B@mm 类别：蠕虫病毒资料：
受影响系统：Windows 95, Windows 98, Windows NT, windows 2000, Windows XP, Windows Me

不受影响系统：Macintosh, Unix, Linux

病毒危害：

1.发送大量邮件：感染后会向.WAB(Windows地址簿), .adc, r.db, .doc, .xls文件中的邮件地址发送大量病毒邮件；

2.修改文件：会感染 .HTM, .Html, .EXE, .SCR文件。

病毒传播：

From:<用户名>@yahoo.com或imissyou@BTamail.net.cn

主题：[用户名]is coming!

附件：pp.exe

技术特征：

该病毒既是一个网络共享、电子邮件蠕虫，又是一个文件感染型病毒，会利用自己的SMTP引擎向.WAB(Windows地址簿), .adc, r.db, .doc, .xls文件中的邮件地址发送大量病毒邮件。它同时会搜索所有本地及网络驱动器，并感染后缀为.htm, .html, .exe及.scr的文件。

病毒利用了IRAME及MIME漏洞，因此只要预览邮件时即会感染。运行后，它会：

1.创建C:％system％RunoUCe.exe（注意Runouce中的字母"U"）文件。之后，它的属性会被设置成隐藏、系统及只读。这使得用户无法在Windows Explorer（若是默认设置的话）中看到此文件。

2.添加Runonce C:WindowsSystemRunouce.exe至注册表

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun中，使得Windows启动时病毒会自动运行。

3.利用自带的SMTP引擎向.WAB(Windows地址簿), .adc, r.db, .doc, .xls文件中的邮件地址发送附件为PP.exe的邮件。病毒使用的SMTP服务器是静态的，也就是指定的SMTP服务器没有运行时，病毒就无法传播。该SMTP服务器（btamail.net.cn）与以前W32.Chir@mm使用的是同一台。

此病毒感染HTML文件的方式与尼姆达的类似。首先在与HTML文件相同目录下创建一个Readme.eml。此文件是是病毒的MIME编码部分。之后，病毒会修改此HTML文件，使得HTML文件预览时会打开Readme.eml。此修改功能只有在启用javascript情况下有效。

病毒还会感染PE文件，它将自身依附在主文件的尾部，将尾部设置成可写并修改病毒体的入口点。从而，任何被感染文件执行时，此病毒会试图装载病毒副本、启动邮件程序。

病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ：别名：I-Worm.Runouce.b [AVP], Win32/ChiHack [Ahnlab]

小心修改网页文件的新病毒预览即会中招.
发现日期： 2002-7-29

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有