“网络天空”最新变种M(Netsky.M) 分析报告

告诉您的位置：首页 > 病毒专栏 > 病毒档案 > 正文

“网络天空”最新变种M(Netsky.M) 分析报告

2004年03月12日17:30:30　金山毒霸安全资讯网　

　　目录： · 病毒信息　　 · 技术特点　　 · 解决方案

　　病毒信息：

　　病毒名称: Worm.Netsky.M
　　中文名称: 网络天空变种M
　　威胁级别: 3C
　　病毒别名: “网络天下”
　　　　　　　 W32.Netsky.M@mm [Symantec]
　　　　　　　 I-Worm.Netsky.m [Kaspersky]
　　　　　　　 WORM_NETSKY.M [Trend]
　　病毒类型: 蠕虫
　　受影响系统:Win9x/Win2000/WinXP/Windows Server 2003

　　技术特点：

　　· 传染条件：利用邮件高速传播，造成邮件服务不堪重负，出现不稳定或瘫痪的现象

　　· 发作现象：病毒会在2004年3月份星期二的早上6点、7点、8点控制PC喇叭发出随机的声音

　　· 系统修改：（点击查看详情）

A、建立互斥体“"[SkyNet.cz]SystemsMutex”，使病毒只有一个进程在运行。

B、自我复制到WINDOWS安装目录：
　 %windir%\winlogon.exe

C、添加以下键值
　 "ICQ Net" = "%Windir%\winlogon.exe -stealth"
　到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　以便病毒可随机自启动；

D、从以下主键中
　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　删除以下键值：
　 Taskmon
　 Explorer
　 Windows Services Host
　 KasperskyAV
　病毒可清除其它的蠕虫病毒（Worm.Novarg.a、 Worm.Novarg.b、Worm.Mimail.t）所添加的
　键值；

E、从以下主键中
　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　删除以下键值：
　 System.
　 gsvr32
　 LETE ME
　 Service
　 Sentry

F、从以下主键中
　 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　删除以下键值：
　 d3dupdate.exe
　 au.exe
　 OLE

G、从以下主键中
　 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
　 RunServices
　删除以下键值：
　 system

H、删除以下主键：
　 HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\
　 InProcServer32
　 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
　 Explorer\PINF
　 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WksPatch

I、搜索具有以下后缀名的文件中，查找的电子邮件地址：
　 .dhtm .cgi .shtm .msg .oft .sht .dbx .tbb .adb .doc .wab .asp
　 .uin .rtf .vbs .html .htm .pl .php .txt .eml

J、使用自己的发信引擎进行发信。其邮件特征如下：

发件人: <从搜索到的邮件地址中仍选>

主题: (使用以下字符串中的任意)
Re: Your website
Re: Your product
Re: Your letter
Re: Your archive
Re: Your text
Re: Your bill
Re: Your details
Re: My details
Re: Word file
Re: Excel file
Re: Details
Re: Approved
Re: Your software
Re: Your music
Re: Here
Re: Re: Re: Your document
Re: Hello
Re: Hi
Re: Re: Message
Re: Your picture
Re: Here is the document
Re: Your document
Re: Thanks!
Re: Re: Thanks!
Re: Re: Document
Re: Document

内容: (使用以下字符串中的任意)
Your file is attached.
Please read the attached file.
Please have a look at the attached file.
See the attached file for details.
Here is the file.
Your document is attached.

附件名称: (使用以下文件名中的任意)
your_website.pif
your_product.pif
your_letter.pif
your_archive.pif
your_text.pif
your_bill.pif
your_details.pif
document_word.pif
document_excel.pif
my_details.pif
all_document.pif
application.pif
mp3music.pif
yours.pif
document_4351.pif
your_file.pif
message_details.pif
your_picture.pif
document_full.pif
message_part2.pif
document.pif
your_document.pif

病毒会避免向含有以下字符串的邮件地址发送病毒邮件：
skynet
messagelabs
abuse
fbi
orton
f-pro
aspersky
cafee
orman
itdefender
f-secur
avp
spam
ymantec
antivi
icrosoft

　　解决方案:

　　· 金山毒霸已经于3月2日对该病毒进行了应急处理，请升级最新版可完全查该病毒；

　　· 请一定留意收到的邮件，如果有附件，请不要打开附件，更不要执行附件中的可执行程序，如
　　　果必须打开附件，请使用最新病毒库的反病毒软件检测后再打开；

　　· 手工解决方案：（点击查看详情）

　　　首先，对于WinMe和Windows XP系统，请先关闭“系统还原功能”
　　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是Windows9x,WindowsMe：

　　步骤一，删除病毒主程序
　　请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为
　　C:\windows\），分别输入以下命令，以便删除病毒程序：
　　C:\windows\>del winlogon.exe
　　完毕后，取出系统软盘，重新引导到Windows系统。
　　如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

　　步骤二，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"ICQ Net" = "%Windir%\winlogon.exe -stealth"
　　关闭注册表编辑器。

　　对于系统是Windows NT,Windows2000,Windows XP,Windows 2003 sever：

　　步骤一，使用进程序管里器结束病毒进程
　　右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口。在任务
　　管理器中，单击“进程”标签，在例表栏找到病毒进程“winlogon.exe”，单击“结束进程按
　　钮”，点击“是”，结束病毒进程，然后关闭“Windows任务管理器”；

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入系统安装目录（Winnt或windows)，找到文件
　　“winlogon.exe”，将它删除；

　　步骤三，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"ICQ Net" = "%Windir%\winlogon.exe -stealth
　　关闭注册表编辑器．