请大家近期注意的病毒邮件 (荐)
[这个贴子最后由浮生若梦在 2003/08/28 11:01pm 第 1 次编辑]
老板公司” 最新变种(Worm_Sobig.F)正在传播
国家计算机病毒应急处理中心通过对互联网的监测,于2003年8月19日发现一个通过电子邮件传播的蠕虫病毒,经分析证实该蠕虫病毒是“老板公司”的又一个变种Worm_Sobig.F,并且该已经在我国传播开来。我们已经接到用户的电话求助,应急邮箱中也收到了被感染用户的计算机自动发送的病毒邮件。
该病毒分析报告如下:
病毒名称:“老板公司”变种(Worm_Sobig.F)
病毒类型: 蠕虫
病毒长度: 72,259字节,约71k
感染系统: Windows 95\98\NT\2000\ME\XP
病毒介绍:
病毒使用自带的SMTP引擎发送电子邮件,当用户打开病毒邮件带有的.pif或.scr类型的附件文件后,病毒就会感染用户的计算机,在以下扩展名的文件中搜索电子邮件地址
dbx 文件(微软OUTLOOK邮件系统保存文件类型)
eml 文件(通用邮件文件扩展名称)
hlp 文件(帮助文件)
htm 文件、html文件(网页文件)
mht 文件(网页文件)
wab 文件(微软地址薄文件)
txt 文件(纯文本文件)
并将自身的拷贝,即病毒邮件发送给这些邮件地址。病毒还可以通过局域网进行传播。邮件形式如下:
发件人:
病毒从被感染机器中搜索,获取邮件地址作为发件人地址,从而使得发送的邮件看上去是从其他人发送的,掩盖真实的发送地址。如果没有从被感染计算机中搜索到可用的用件地址,病毒将使用admin@internet.com作为发件人。
主题:(为下列之一)
Re: Thank you! Thank you!
Re: Details
Re: My details
Re: Approved
Re: Your application
Re: Wicked screensaver
Re: That movie
内容:(为以下二者之一)
See the attached file for details.
Please see the attached file for details.
附件:(为下列之一)
application.pif
details.pif
document_9446.pif
document_all.pif
movie0045.pif
thank_you.pif
wicked_scr.scr
your_document.pif
your_details.pif
病毒运行后,在Windows文件夹下生成自身拷贝,并命名为winppr32.exe,同时创建注册表键值,以便在系统启动时,病毒能随系统启动而运行。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "TrayX" = %Windows%\winppr32.exe /sinc HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "TrayX" = %Windows%\winppr32.exe /sinc (%Windows%为Windows文件夹,通常默认安装的路径为C:\Windows 或 C:\WINNT),病毒还在Windows目录下生成文件winstt32.dat
另外,与“老板公司”的其他两个变种Worm_Sobig.C和Worm_Sobig.E相类似,病毒在传播时间上给自身做了限制,当系统日期为2003年9月10之后,蠕虫的传播机制将自动失效。
清除该病毒的相关操作:
1、终止病毒进程在Windows 9x/ME系统,同时按下CTRL+ALT+DELETE 在Windows NT/2000/XP系统中,同时按下CTRL+SHIFT+ESC 选择“任务管理器——〉进程”,选中正在运行的病毒进程,并终止其运行。
2、注册表的恢复点击“开始——〉运行”,输入regedit,运行注册表编辑器,依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run ,并删除面板右侧的"TrayX" = %Windows%\winppr32.exe /sinc。再依次双击左侧的 HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run ,找到并删除面板右侧的"TrayX" = %Windows%\winppr32.exe /sinc
3、删除病毒文件点击“开始——〉查找——〉文件和文件夹”,查找“winppr32.exe”、“winstt32.dat”,并将找到的文件删除。
4、运行杀毒软件对系统进行全面的病毒查杀
目前,国家计算机病毒应急处理中心提醒广大用户升级杀毒软件,启动实时监控功能,留意病毒邮件的特征,收到此类邮件千万不要打开附件,应立即删除。
斑竹回复:请不要将类似帖子出售