I-Worm.Stopin.a

2008-02-23 09:21:16来源：互联网阅读 ()

病毒名称: I-Worm.Stopin.a 类别：蠕虫病毒病毒资料：破坏方法：

通过邮件进行传播的蠕虫病毒

病毒采用Borland C 编写，UPX v1.20压缩。

病毒运行后有以下行为：

一、将自己复制到％WINDIR％目录下，文件名为"MSKERN32.EXE"。

二、修改注册表以下键值，以达到其自启动的目的：

1.
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run
增加数据项："MS Kernel32"
数据值为："％WINDIR％\MSKERN32.EXE"

三、弹出包含以下字符串的对话框，用于欺谝用户使用户以为病毒文件是一个无法运行的文件。

对话框中的信息有可能为以下字符串：

1."This file is not a Win32 file valid"

2."Cannot Open files : It does not appear to be a valid Win32 If you downloaded the file, try downloading again."

3."Error with Kernel32 : This program will be terminated."

4."Loader Error : This program will be terminated."

四、查看当前系统所运行的进程中是否包含有进程名为"NAVAPW32.EXE"、"PAVSCHED.EXE"的进程，如果有则将它们结束。

五、发送携带病毒的邮件。

邮件标题有以下几种可能：

"New Game for You."、
"Protect your computer against VBS/Worm and
VBS/Virus"、
"Free Flash Application !"、
"Internet EXPlorer 5.0/6.0 Patch"、
"Try WinXP."、
"Free Chat"

邮件正文有以下可能：

"Hi, Take a look at this new game found on the web."、
"This tool allows you to protect your computer against the VBS worm/virus."、
"Hi, Very good application make with Flash 5."、

"There is the last patch for Internet Explorer against the
ActiveX's bugs."、
"Run this small program to see a demo of Win XP."、
"Hello,
Very cool program to chat on the net."

邮件附件的文件名可能为：

"New_Game.exe"、
"Fix_VBSWormVirus.exe"、
"Flash_EXE.exe"、
"IEPatch.exe""Demo_WinXP.exe"、
"FreeChat.exe"

六、检查当前系统时间，如果时间为12月1日，病毒将生成一个HTM文件显示以下内容：

Win32.HLLW.Last is in your computer
This my last worm
Greetz to : all3gro, Benny, Bumblebee, Mandragore, ZeMacroKiller98, the 29A
group and the [MATRiX] group.
GOOD BYE
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2004-12-28

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有