北京信息安全中心毒霸联合发布3.22热门病毒

北京信息安全中心毒霸联合发布3.22热门病毒

2004年03月22日12:16:32　金山毒霸安全资讯网　

　　北京信息安全测评中心、金山毒霸联合发布2004年03月22日热门病毒

　　据金山毒霸反病毒实验室介绍，今日提醒用户注意以下病毒：

　　"费氏"（Worm.Fizzer.b），盗号木马，该病毒在利用邮件进行传播的同时，会利用IRC和AOL这两个聊天软件开启一个后门，让黑客通过聊天软件控制宿主机器。还会搜索点对点工具“KaZaa”的安装路径及注册表信息，获得此工具共享的目录，并把副本复制到共享目录下，让其它用户下载自己，达到传播目的。以下是病毒详情：

　　病毒信息：

　　病毒名称: Worm.Fizzer.b
　　中文名称: 费氏
　　威胁级别: 2A
　　病毒别名: W32.HLLW.Fizzer.B@mm [Symantec]
　　　　　　　 W32/Fizzer.b@MM [McAfee]
　　　　　　　 Win32/Fizzer.B@mm [RAV]
　　　　　　　 I-Worm.Fizzer.b [KAV]
　　病毒类型: 蠕虫，后门
　　受影响系统: Win9x/WinMe/WinNT/Win2000/WinXP/Win2003

　　技术特点：

　　· 系统修改：（点击查看详情）

A、拷贝其本身至Windows安装目录：
%Windir%\iservc.exe
%Windir%\initbak.dat

B、创建如下文件:
%Windir%\ProgOp.exe (15,360 bytes)；
%Windir%\iservc.dll (7,680 bytes), 该文件是这个蠕虫的键盘纪录组件；
%Windir%\data1-2.cab 其中包含被加密的该蠕虫从被感染系统中搜索出的Email地址；
%Windir%\iservc.dat
%Windir%\Uninstall.pky 每三十秒检查一次被感染系统，用于卸载该病毒；
%Windir%\upd.bin
%Windir%\iservc.klg 以加密形式记录偷取到的键盘纪录。

C、在注册表主键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
中添加以下键值：
"SystemInit"="%Windir%\iservc.exe"

修改默认注册表键值：
HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command
为：
@="%Windir%\ProgOp.exe 0 7 '%Windir%\notepad.exe %1''%Windir%\initbak.dat''iservc.exe'

D、尝试结束含有以下字符串的进程：
NAV
SCAN
AVP
TASKM
VIRUS
F-PROT
VSHW
ANTIV
VSS
NMAIN

E、创建一个名为“SparkyMutex”的互斥体，只允许该蠕虫一个进程运行；

F、搜索KaZaA共享文件夹，并感染其中文件，以其病毒体替换被感染文件，将被感染文件作为其一个资源节保存；

　　· 发作现象：（点击查看详情）

　　解决方案:

　　· 金山毒霸已经于3月19日对该病毒进行了应急处理，请升级最新版可完全查该病毒；

　　· 请不要轻易点击陌生人邮件以及下载和运行所带附件，在运行可疑附件前最好先用毒霸扫描；

　　· 手工清除：

　　　首先，对于WinMe和Windows XP系统，请先关闭“系统还原功能”
　　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是Windows9x,WindowsMe：

　　步骤一，删除病毒主程序
　　请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为
　　C:\windows），分别输入以下命令，以便删除病毒程序：
　　C:\windows\>del ProgOp.exe
　　C:\windows\>del iservc.dll
　　C:\windows\>del data1-2.cab
　　C:\windows\>del iservc.dat
　　C:\windows\>del Uninstall.pky
　　C:\windows\>del Upd.bin
　　完毕后，取出系统软盘，重新引导到Windows系统。
　　如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

　　步骤二，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE > Software > Microsoft > Windows > CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"SystemInit"="%windir%\iservc.exe"

　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>CLASSES>txtfile>shell>open>command
　　在右边的面板中, 将其键值改为：
　　"notepad.exe %1"
　　关闭注册表编辑器。

　　对于系统是Windows NT,Windows2000,Windows XP,Windows 2003 sever：

　　步骤一，使用进程序管里器结束病毒进程
　　右键单击任务栏，弹出菜单，选择“任务管理器”，调出“Windows任务管理器”窗口。在任务
　　管理器中，单击“进程”标签，在例表栏找到病毒进程“SmS.exe”，单击“结束进程按
　　钮”，点击“是”，结束病毒进程，然后关闭“Windows任务管理器”；

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入系统目录(Winnt或windows)，找到文件
　　"ProgOp.exe,iservc.dll,data1-2.cab,iservc.dat,Uninstall.pky,Upd.bin"，将它们删除，
　　注意清空回收站内的内容；

　　步骤三，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE > Software > Microsoft > Windows > CurrentVersion > Run
　　在右边的面板中, 找到并删除如下项目：
　　"SystemInit"="%windir%\iservc.exe"

　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>CLASSES>txtfile>shell>open>command
　　在右边的面板中, 将其键值改为：
　　"notepad.exe %1"
　　关闭注册表编辑器.