 |
国家计算机病毒应急中心一周病毒预报（8.9-8.15）
(2004-8-10) |
|
|
病毒名称："Mydoom变种"（Worm_Mydoom.N）
其它命名：W32/Mydoom.p@MM （McAfee）
W32.Mydoom.N@mm（symantec）
WORM_MYDOOM.N（trend）
I-Worm.Mydoom.n（Kaspersky）
Win32.Mydoom.P（冠群金辰）
病毒长度：35，328字节
病毒类型：蠕虫
感染系统：Windows 95/98/Me/NT/2000/XP/2003
病毒特性：
病毒以染毒邮件的附件形式到达，邮件的标题、内容、附件的名称都是可变的，长度约为35k。提醒用户遇到此类邮件不要打开，应立即删除。病毒运行后在系统文件夹下生成病毒文件，修改注册表，以达到自启动的目的。另外，病毒还具有后门功能。
1、生成病毒文件
该病毒运行后在%Windir%文件夹中生成文件java.exe和services.exe。
（其中，%Windir% 通常为C:\windows或C:\WINNT）
2、修改注册表
病毒修改注册表，以达到随系统启动而自动运行的目的，在HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Current Version\Run下创建：
JavaVM = "%Windir %\java.exe"
Services = "%Windir %\services.exe"
病毒还在注册表中创建以下键值，作为病毒感染的标记
HKCU\SOFTWARE\Microsoft\Daemon
HKLM\SOFTWARE\Microsoft\Daemon
3、通过电子邮件进行传播
病毒使用自身的SMTP引擎向外发送带毒电子邮件，进行传播。病毒会从扩展名为.adb、.asp、.dbx、.ht*、.php、.pl、.sht、.tbb、.tx*和.wab的文件中搜集邮件地址，并向这些地址发送带毒电子邮件。病毒同时会略去还有特定字符的邮件地址。
病毒发送的邮件格式如下：
主题： （为下列之一）
hello
hi
error
status
test
report
delivery failed
Message could not be delivered
Mail System Error - Returned Mail
Delivery reports about your e-mail
Returned mail: see transcript for details
Returned mail: Data format error
正文：内容为可变的
附件的名称：（为下列之一）
readme
instruction
transcript
mail
letter
file
text
attachment
document
message
附件可能具有双扩展名：
第一个扩展名可能为：cmd、bat、com、exe、pif、scr、zip
第二个扩展名可能为：doc、txt、htm、html
4、后门功能
病毒生成的文件会开启TCP1034端口，并通过该端口监听来自远程用户的连接。
清除该病毒的建议：
1、终止病毒进程
在Windows 9x/ME系统，同时按下CTRL+ALT+DELETE
在Windows NT/2000/XP系统中，同时按下CTRL+SHIFT+ESC
选择"任务管理器--〉进程"，选中正在运行的病毒进程，并终止其运行。
2、注册表的恢复
点击"开始--〉运行"，输入regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run ，并删除面板右侧的JavaVM = "%Windir %\java.exe"和Services = "%Windir %\services.exe"
3、删除病毒文件
点击"开始-->查找"，找到病毒生成的文件java.exe和services.exe，并将其删除。
4、运行杀毒软件对系统进行全面的病毒查杀
专家提醒：
1、建立灾难备份系统。对于重要数据和信息，如数据库和数据系统，一定要定期备份，最好多机备份并进行异地备份，保证在丢失数据后及时恢复。
2、在遭受了黑客的入侵以后，被感染用户的一些个人信息很有可能已经被泄漏，所以用户应当在清除黑客的同时，对个人的资料作适当的修改，以确保安全。这些信息包括登录网络的用户名、密码、邮箱密码、QQ密码，以及一些应用软件，如网上银行的账户、密码等重要信息。
|
|  |
|
