MSN骗子病毒详细技术分析

蓝信子

　　10月10日，瑞星全球反病毒监测网截获了一个传播速度极快的蠕虫病毒，它可以通过QQ和MSN传播，向线上好友发送“FUNNY.EXE”文件，用户点击后就会中毒。病毒会屏蔽937个主流网站，可能造成Win98崩溃。并且，此病毒会利用MSN、QQ等疯狂发送信息，很有可能借以推广某网站。 　　 　　瑞星反病毒专家提醒说，当用户收到QQ、MSN好友发来的可疑文件时，一定要先用最新版本的杀毒软件进行杀毒，版本16.47.30以上的瑞星软件可以彻底清除此病毒。此外，瑞星还发布了免费的“MSN骗子”病毒专杀工具，及“QQ病毒”的专杀工具。 　　 　　一、病毒评估 　　1．病毒中文名：MSN骗子 　　2．病毒英文名：Worm.MSN.funny 　　3．病毒类型：蠕虫病毒 　　4．病毒危险等级：★★★★ 　　5．病毒传播途径：QQ/MSN 即时通讯工具 　　6．病毒依赖系统：Windows 9X/NT/2000/XP 　　 　　二、病毒的破坏 　　1．在Windows 2000/XP系统下，病毒会修改系统文件HOSTS，屏蔽937个网站，使用户登陆这些网站时会转向www.**78p.com，造成用户无法正常上网浏览。 　　2．在Windows 98系统下，病毒会替换系统文件Rundll32.exe，可能造成系统不能关机，进而崩溃。 　　3．利用MSN、QQ疯狂发送广告信息，诱骗用户登陆www.**78p.com网站。 　　4．向MSN、QQ好友发送“FUNNY.EXE”文件，传播自身。 　　 　　三、技术分析 　　1．该病毒使用Visual Basic语言编写，用ASPack2.12加过壳。 　　2．运行后，病毒会把自己复制到WINDOWS目录下，病毒文件名为“Rundll32.exe”，再将自己拷贝几份到系统目录下，文件名分别为IEXPLORER.EXE，explorer.exe。 　　3．修改注册表实现随机自启动。 　　4．病毒运行之后，几个进程会同时运行，形成双进程保护，在任务管理器里很难结束。 　　5．向QQ、MSN好友发送“一家新开的酒吧，晚上聚聚，这里有介绍http://www.**78p.com,记得给我电话”，“朋友，多注意休息啊，可以到这里放松放松哦http://www.**78p.com”，“我们也来俗一把如何，看MM去，http://www.**78p.com，够味！呵呵！”，“日本人在南京大屠杀的铁证!坚决抵制日货 http://www.**78p.com”，“对中国威胁最大的十个国家!列表http://www.**78p.com”，“我见过最漂亮的视频MM (不看可别后悔), http://www.**78p.com”，“《中国农民调查》页页血泪，惊动中央 转自网易,http://www.**78p.com”。 　　6．向MSN、QQ好友发送名为FUNNY.EXE的文件，这就是病毒。 　　7．如果用户使用WIN 2000/XP系统，病毒会修改HOSTS文件，屏蔽937个主流网站，使用户登陆这些网站时会自动转向http://www.**78p.com。 　　8．如果用户使用WIN 98系统，病毒会覆盖系统文件Rundll32.exe，可能导致系统异常。如果正在运行则不能正常关机，如果重启的话不能进入桌面，所有操作都不能进行。 <