I-Worm.Blowphish

2008-02-23 09:17:42来源：互联网阅读 ()

病毒名称: I-Worm.Blowphish 类别：蠕虫病毒病毒资料：破坏方法：

通过邮件进行传播的蠕虫病毒

病毒采用VB编写。

病毒运行后有以下行为：

一、将自己复制到以下目录中的其中一个：

"C:\Windows\System32"、
"C:\Windows"、
"C:\Windows\Fonts"

文件名为以下字符串的随机组合：

"Windows"、
"System"、
"Registry"、
"Microsoft"、
"Command"、
"Win32"、
"Windows32"、
"MSConfig"、
"MSRAMDrive"、
"Internet"、
"Defrag"、
"Clean"、
"SYS"、
"Statistic"、
"File"、
"DOS"、
"PROMPT"、
"Jimi_Hendrix"、
"Bob_Marley"、
"The_Pixies"、
"The_Doors"、
"REM"、
"DLL"、
"dll"、
"Load"、
"Handle"、
"Scan"、
"Agent"、
"Config"、
"Settings"、
"Driver"、
"_32"、
"monitor"、
"reg"、
"Manager"、
"0"、"1"、"2"、"3"、"4"、"5"、"6"、
"7"、"8"、"9"、"_0"、"_1"、"_2"、"_3"、
"_4"、"_5"、"_6"、"_7"、"_8"、"_9"

文件扩展名有以下可能：

".exe"、
".scr"、
".zip "、
".scr"
".exe"、
".bat" 、
".exe"、
".sys、
".exe"、
".dll"、
".exe"、
".sys"、

".scr"、
".zip.exe"

二、修改注册表以下键值以达到其自启动的目的：

1.
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run
增加数据项："bl0wPHISH_boot"

2.
HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\Run
增加数据项："bl0wPHISH_boot"

三、搜索包含以下字符串的窗体，并将它们关闭：

"norton"、
"sophos"、
"symantec"、
"trend"、
"blackice"、
"McAfee"、
"kASPersky"、
"panda"、
"solo"、
"zonealarm"、
"sygate"、
"pccillin"、
"pc-cillin"、
"norman"、
"anti"、
"trojan"、
"avg"、
"avx"、
"bitdefender"、
"f-prot"、
"e-safe"、
"f-secure"、
"avast!"、
"etrust"、
"doctor"、
"nod32"、
"virobot"、
"grisoft"、
"protector"、
"Sybari"、
"Antigen"、
"scan"、
"guarder"、
"firewall"、
"fix"

四、构造携带病毒的邮件并发送出去。

邮件标题有以下可能：

"Your Details"
"You Have been Hacked!"
"Your E-Bay Account"
"All Along the WatchTower"
"Mail Delivery Failure : Message returned"
"Mail delivery failed : returning message to sender"
"Mail Send Fail"

邮件附件为病毒文件。

（由于病毒邮件的正文是多个字符串随机组合成的，内容太多无法全部列举）
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2005-1-3

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有