| | |
网络难平静，大无极新变种又现
|
|
| 时间：2003-7-16 8:26:46 |
| |
警惕程度：★★★★
发作时间：随机
病毒类型：蠕虫病毒
传播方式：邮件/局域网
感染对象：局域网
依赖系统: WIN9X//NT/2000/XP
病毒介绍：
该病毒是目前大无极病毒家族中最厉害的一个变种，其传播范围与传播速度都超过了其它变种。病毒运行后会将自身复制到系统目录下，并修改注册表进行自启动。然后感染局域网中的计算机，将自已放入启动目录，导致全网带毒，病毒还会搜索用户的mail地址，向外大量发送邮件，使网络瘫痪。
病毒的发现与清除：
此病毒会有如下特征，如果用户发现计算机中有这些特征，则很有可能中了此病毒：
1. 病毒运行时会将自身拷贝到：%Windir%\目录下命名为：winssk32.exe，然后在该目录下建立一个名为msrrf.dat的病毒配置文件。用户可以查找计算机，找到这两个文件后将之删除。
注意：%Windir%是一个变量，它指的是系统安装目录，默认是：“C:\Windows”或：“c:\Winnt”,也可以是用户在安装操作系统时指定的其它目录。
2. 病毒运行时会修改注册表的自启动项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，在其中加入名称为：SSK Service， 内容为： %Windir%\winssk32.exe的键值，以便下次系统启动时病毒能自动运行。用户可以用REGEDIT工具，将该病毒键值直接删除，使病毒无法启动。
3. 病毒运行时会在内存中产生一个名为：winssk32的线程。NT以上操作系统的用户可以用任务管理器直接将该进程杀掉，9X操作系统的用户则只能用第三方软件如PROCVIEW等杀掉该病毒进程。
4. 病毒会搜索局域网中的计算机，如果发现有默认共享的计算机，则病毒会将自身拷贝到这些计算机中的：Windows\All Users\Start Menu\Programs\StartUp、Documents and Settings\All Users\Start Menu\Programs\Startup目录中。用户可以检查一下这些目录，看是否存在上面提到的病毒体，如果有则可以直接清除。
5. 病毒会搜索磁盘中的*.web,*.txt,*.dbx*.htm,*.html及*.eml文件，并从中提取出mail地址进行邮件传播，
邮件的发信人可能为：[email protected]
邮件的标题可能为：
· Re: Application
· Re: Movie
· Re: Movies
· Re: Submitted
· Re: ScRe:ensaver
· Re: Documents
· Re: Re: Application ref 003644
· Re: Re: Document
· Your application
· Application.pif
· Applications.pif
· movie.pif
· Screensaver.scr
· submited.pif
· new document.pif
· Re: document.pif
· 004448554.pif
· Referer.pif
邮件的附件可能为：
· your_details.zip
· application.zip
· document.zip
· screensaver.zip
· movie.zip
没有安装杀毒软件的用户如果收到这样的邮件，则可以直接删除这此邮件。
如果在自己的计算机中发现以上全部或部分现象，则很有可能中了大无极变种E(Worm.SoBig.E)病毒。
|
|
|
|
·上一条：神速木马(Trojan.MuMu)病毒档案 (7-16)
·下一条：大无极变种D病毒档案 (7-16)
|
| |
|
|
|
|
|
|
|
|
|
| | | |
当前位置：铁通呼伦贝尔信息港
> 网络学院
> 阅读新闻 