Worm.Script.WhiteHome

2008-02-23 09:18:04来源：互联网阅读 ()

病毒名称: Worm.Script.WhiteHome 类别：蠕虫病毒病毒资料：破坏方法：

这是一个乱发邮件的病毒，它会向地址簿中的所有用户发送邮件，并将自身代码复制到镜像驱动器中，用户收到的邮件内容从下列文本中随机选择：

"Thanks for helping me!"
"The police are investigating the robbery"
"an application for a job"
"The ASPects of an application process pertinent to OSI"
"What a pleasant weather. Why not go out for a walk?"
"These countries have gone / been through too many wars"
"We've fixed on the 17th of April for the wedding"
"The wind failed and the sea returned to calmness."
"the sitting is open!"
"" (blank)

附件为：README.Html
当运行附件时，其中的javascript代码将在WINDOWS SYSTEM目录中创建下列文件：

Mdm.vbs (A copy of the virus in VBScript form)
user.dll (A copy of the virus in VBScript form)
system.dll (A copy of the virus in JavaScript form)
Readme.html (2 copies of the virus in JavaScript form, back to back)
其中vbscript脚本被以Profile.vbs文件名保存在WINDOWS目录中。
蠕虫创建下列注册键，以便在每次系统启动后自动运行蠕虫脚本：

HKLM\Software\Microsoft\Windows
\CurrentVersion\
Run\Mdm=C:\WINDOWS\SYSTEM\Mdm.vbs

HKLM\Software\Microsoft\Windows\CurrentVersion\
RunServices\Profile=C:\WINDOWS\Profile.vbs
自动批处理文件 Autoexec.bat被覆盖，其中包含这样的指令，如果username, computername, 或 domain name中包含下列文本串，将删除C盘上的所有文件及文件夹：

white home
central intelligence agency

bush
american stock exchang
chief executive
如果系统日期中的7月5日，那么病毒将被复制到C:\con\con\75.htm文件中，一个新的注册键被创建：

HKLM\Software\Microsoft\Windows\CurrentVersion
\Run\75=75.htm
本地及远程驱动器中的.htm, .html, .plg, 和 .asp 文件，如果其大小小于100,000字节，病毒将其自身代码添加到这些文件的末尾，而所有的.vbs文件，如果其大小小于100,000字节，则被病毒代码覆盖。

当蠕虫的发邮件功能被启动时，邮件还被同时发送到

president@whitehouse.gov, vice.president@whitehouse.gov,
first.lady@whitehouse.gov,
或
mrs.cheney@whitehouse.gov无附件。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2004-12-20

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有