Worm.MyPhoto.b

病毒名称(中文):

病毒别名:

威胁级别:

★☆☆☆☆

病毒类型:

蠕虫病毒

病毒长度:

930304

影响系统:

Win9xWinMeWinNTWin2000WinXPWin2003

病毒行为:

该病毒是一个集蠕虫、木马、黑客后门于一体的高级病毒。该病毒运行后，会拷贝自身到windows目录，并添加启动项，达到随开机启动的目的；该病毒会结束大量杀毒软件及防火墙，并删除这些防毒软件的启动项，甚至会删除一些软件如天网防火墙的文件；该病毒会在用户机器上打开socket后门，并创建新用户，用户名为123，用户组为netlocalgroupadministrators，以供黑客攻击；该病毒会通过消息钩子、键盘记录等技术来盗取多种网络游戏的帐号密码，如传奇、封神榜、三国群英等，该病毒通过设置ie浏览器钩子，盗取其它信息，给网上银行用户带来不安全因素；该病毒会主动搜集用户文件中包含的邮件地址，并发送含毒文件到这些地址中，附件名为“我的照片.jpg.exe”，用户双击运行后，会弹出一个照片，但病毒已经被激活了。

1，生成文件

%windows%\temp\ssshost.exe

%windows%\svchost.exe

2，添加启动项

HKLM\SoftWare\MicroSoft\Windows\CurrentVersion\Run

"Microsoft"="%windows%\svchost.exe"

HKLM\SOFTWARE\Classes\exefile\shell\open\command

"default"="%windows%\svchost.exe%1"

3，该病毒通过列邮件传播

标题：

表哥，你最近还好吗?

邮件内容：

表哥，你这几年在上海过得好吗？

知道我是谁吗？

看了我的相片你就知道了

附件文件名：

我的照片.jpg.exe

邮件发送地址：

iloveyouyoulovemetoo@21cn.com

4，该病毒会结束含有下列字符串的进程

HOOKTDI1

HOOKSys

HookReg

HookCont

HOOKAPI

ExpScaner

RfwService

RsCCenter

RsRavMon

KVDP

KVSrvXP

KWatchSvc

KWatch3

KPfwSvc

KNetWch

pfw.exe

kvfw.exe

iamapp.exe

nmain.exe

freepp.EXE

freekav.EXE

freesys.EXE

Iparmor.exe

trojan_hunter.exe

Rfw.exe

KVMonXP.kxp

KVCenter.kxp

KvXP.kxp

KAVPFW.EXE

KWatch.EXE

KPfwSvc.EXE

KAVStart.exe

KMailMon.EXE

KAV32.EXE

rav

瑞星

病毒

杀毒

木马

金山毒霸

5，删除启动项

HKLM\SoftWare\Microsoft\windows\CurrentVersion\Run

SKYNETPersonalFireWall

iDubaPersonalFireWall

KavStart

KvMonXP

iamapp

rfw

popproxy

RavMon

RavTimer

HKLM\SoftWare\Microsoft\windows\CurrentVersion\RunServices

RavMon

HKCU\SoftWare\Microsoft\windows\CurrentVersion\Run

KVFW

KvXP

KavPFW

6，从以下后缀的文件中收集邮件地址

.wab

.txt

.msg

.htm

.shtm

.stm

.xml

.dbx

.mbx

.mdx

.eml

.nch

.mmf

.ods

.cfg

.asp

.php

.pl

.wsh

.adb

.tbb

.sht

.xls

.oft

.uin

.cgi

.mht

.dhtm

.jsp

.rtf

.doc

.html

.ini

7，通过查找下列标题的窗口盗取帐号密码

热血江湖

烈火奇迹

梦幻西游

传奇

天堂Ⅱ

大话西游

剑网Ⅱ

封神榜

航海世纪

剑侠情缘

英雄

万王之王

三国群英

天堂

科隆

传说

洛奇

神迹

永恒

猛将

轩辕

天骄

龙魂童话

真封神

魔兽

传奇世界

泡泡堂

刀剑

奇迹

英雄年代

神迹

红月

丝路传说

仙界传

星钻