Mydoom:病毒大佬变脸再现江湖

雨林

　　2004年里的病毒大佬--Mydoom看来是不希望广大人民群众过一个安乐祥和的踏实年了，随着在年度十世界毒王的评选中一举胜出之后，才休息没多久，便易容重现江湖。
　　
　　新变种依然依靠从受感染计算机中查找邮件地址，然后使用自带的SMTP引擎，大规模的邮件发送来进行传播。
　　
　　其它命名：MyDoom.AI [F-Secure], W32/MyDoom-AA [Sophos], W32/Mydoom.ap@MM [McAfee]
　　
　　病毒类型：蠕虫
　　
　　病毒长度：31，744字节
　　
　　受影响系统：Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
　　
　　威胁程度：低
　　
　　破坏能力：中
　　
　　传播能力：中
　　
　　综合评价：二级
　　
　　病毒发作时：
　　
　　1，创建如下文件：
　　
　　%system%\lsasrv.exe(病毒的拷贝)
　　%system%\version.ini(一个无害的文本文件)
　　%system%\hsery.sys(一个无害的二进制文件)
　　
　　2，然后，创建如下注册表项：
　　
　　HEKY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersionRun\"lsass"="%system%\lsasrv.exe"
　　
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersionWinlogon"Shell"="explorer.exe %system%\lsasrv.exe"
　　
　　3，随后，病毒在用户的临时文件夹下创建名为Mes#wtelw.txt文件，文件只包含垃圾数据，病毒使用记事本打开它，在它上面显示垃圾内容。
　　
　　4，随后病毒从Windows地址薄以及带有如下扩展名的文件中收集邮件地址：
　　.adb
　　.asa
　　.asc
　　.asm
　　.asp
　　.cgi
　　.con
　　.csp
　　.dbx
　　.dlt
　　.dwt
　　.edm
　　.hta
　　.htc
　　.htm
　　.inc
　　.jsp
　　.jst
　　.lbi
　　.php
　　.rdf
　　.rss
　　.sht
　　.ssi
　　.stm
　　.tbb
　　.tpl
　　.txt
　　.vbp
　　.vbs
　　.wab
　　.wml
　　.xht
　　.xml
　　.xsd
　　.xst
　　
　　5，病毒不会将自己发送到含有如下字符串的邮件地址中去：
　　
　　accoun
　　certific
　　listserv
　　ntivi
　　support
　　icrosoft
　　admin
　　page
　　the.bat
　　gold-certs
　　feste
　　submit
　　not
　　help
　　service
　　privacy
　　... ...
　　
　　6，邮件内容：
　　病毒将使用如下域名之一来创建一个虚假的地址：
　　- 来源：
　　compuserve.com
　　juno.com
　　earthlink.net
　　yahoo.co.uk
　　hotmail.com
　　yahoo.com
　　msn.com
　　aol.com
　　
　　使用如下标题之一：
　　Attention!!!
　　Do not reply to this email
　　Error
　　Good day
　　hello
　　Mail Delivery System
　　Mail Transaction Failed
　　Server Report
　　Status
　　附件有如下几个命名：
　　body
　　message
　　docs
　　data
　　file
　　rules
　　doc
　　readme
　　document
　　附件扩展名为如下之一：
　　.bat
　　.cmd
　　.exe
　　.scr
　　.pif
　　.zip
　　
　　邮件文本内容如下：
　　The message contains Unicode characters and has been sent as a binary attachment.
　　
　　The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
　　
　　Mail transaction failed. Partial message is available.
　　
　　Here are your documents you are requested.
　　
　　Thank you for registering at WORLDXXXPASS.COM
　　All your payment info, login and password you can find in the attachment file.
　　It's a real good choise to go to WORLDXXXPASS.COM
　　
　　Attention! New self-spreading virus!
　　Be careful, a new self-spreading virus called "RTSW.Smash" spreading very fast via e-mail and P2P networks. It's about two million people infected and it will be more.
　　To avoid your infection by this virus and to stop it we provide you with full information how to protect yourself against it and also including free remover. Your can find it in the attachment.
　　c 2004 Networks Associates Technology, Inc. All Rights Reserved
　　New terms and conditions for credit card holders
　　Here a new terms and conditions for credit card holders using a credit cards for making purchase in the Internet in the attachment. Please, read it carefully. If you are not agree with new terms and conditions do not use your credit card in the World Wide Web.
　　Thank you,
　　The World Bank Group
　　c 2004 The World Bank Group, All Rights Reserved
　　Attention! Your IP was logged by The Internet Fraud Complaint Center
　　Your IP was logged by The Internet Fraud Complaint Center. There was a fraud attempt logged by The Internet Fraud Complaint Center from your IP. This is a serious crime, so all records was sent to the FBI.
　　All information you can find in the attachment. Your IP was flagged and if there will be anover attemption you will be busted.
　　This message is brought to you by the Federal Bureau of Investigation and the National White Collar Crime Center
　　
　　7，它将自己拷贝到名为Kazaa,morpheus,iMesh,eDonkey或者是LimeWire的共享文件夹中，文件扩展名为：.bat,.pif或者.exe：
　　
　　·porno
　　·NeroBROM6.3.1.27
　　·avpprokey
　　·Ad-awareref01R349
　　·winxp_patch
　　·adultpasswds
　　·dcom_patches
　　·K-LiteCodecPack2.34a
　　·activation_crack
　　·icq2004-final
　　·winamp5
　　
　　8，同时，它也尝试去终止如下的进程，包含防火墙及反病毒程序：
　　
　　i11r54n4.exe
　　irun4.exe
　　d3dupdate.exe
　　rate.exe
　　ssate.exe
　　winsys.exe
　　winupd.exe
　　SysMonXP.exe
　　bbeagle.exe
　　Penis32.exe
　　teekids.exe
　　MSBLAST.exe
　　mscvb32.exe
　　sysinfo.exe
　　PandaAVEngine.exe
　　taskmon.exe
　　wincfg32.exe
　　outpost.exe
　　zonealarm.exe
　　navapw32.exe
　　navw32.exe
　　zapro.exe
　　msblast.exe
　　netstat.exe
　　
　　9，下载http://nermasteno.com/com.txt或者http://www.opsanted.com/com.txt。
　　
　　10，将如下条目添加到%system%\drivers\etc\hosts文件夹中，以阻止用户访问反病毒网站：
　　
　　127.0.0.1 www.symantec.com
　　127.0.0.1 securityresponse.symantec.com
　　127.0.0.1 symantec.com
　　127.0.0.1 www.sophos.com
　　127.0.0.1 sophos.com
　　127.0.0.1 www.mcafee.com
　　127.0.0.1 mcafee.com
　　127.0.0.1 liveupdate.symantecliveupdate.com
　　127.0.0.1 www.viruslist.com
　　127.0.0.1 viruslist.com
　　127.0.0.1 www.f-secure.com
　　127.0.0.1 f-secure.com
　　127.0.0.1 kaspersky.com
　　127.0.0.1 kaspersky-labs.com
　　127.0.0.1 www.avp.com
　　127.0.0.1 avp.com
　　127.0.0.1 www.kaspersky.com
　　127.0.0.1 www.networkassociates.com
　　127.0.0.1 networkassociates.com
　　127.0.0.1 www.ca.com
　　127.0.0.1 ca.com
　　127.0.0.1 mast.mcafee.com
　　127.0.0.1 www.my-etrust.com
　　127.0.0.1 my-etrust.com
　　127.0.0.1 download.mcafee.com
　　127.0.0.1 dispatch.mcafee.com
　　127.0.0.1 secure.nai.com
　　127.0.0.1 www.nai.com
　　127.0.0.1 nai.com
　　127.0.0.1 update.symantec.com
　　127.0.0.1 updates.symantec.com
　　127.0.0.1 us.mcafee.com
　　127.0.0.1 liveupdate.symantec.com
　　127.0.0.1 customer.symantec.com
　　127.0.0.1 rads.mcafee.com
　　127.0.0.1 www.trendmicro.com
　　127.0.0.1 trendmicro.com
　　127.0.0.1 www.grisoft.com
　　127.0.0.1 grisoft.com <