"网络天空"变种AC(NetSky.ac) 病毒分析报告

告诉您的位置：首页 > 病毒专栏 > 病毒档案 > 正文

"网络天空"变种AC(NetSky.ac) 病毒分析报告

2004年04月30日16:33:10　金山毒霸安全资讯网　

病毒信息：

　　病毒名称: Worm.NetSky.ac
　　中文名称: 网络天空
　　病毒长度: 37,977Bytes
　　威胁级别: 3A
　　病毒别名: W32.Netsky.AB@mm [Norton]
　　　　　　　 I-Worm.NetSky.ac [AVP]
　　　　　　　 Worm.NetSky.ac [瑞星]
　　病毒类型: 蠕虫、后门
　　受影响系统:Win9x/WinMe/WinNT/Win2000/WinXP/Win2003

　破坏方式：
　　利用自带的SMTP引擎疯狂发送带毒邮件，造成网络堵塞，并可导致邮件服务器瘫痪。

　系统修改：（点击查看详情）

A、创建一个名为“S-k-y-n-e-t--A-n-t-i-v-i-r-u-s-T-e-a-m”的互斥量，以保证病毒只有一个实例在运行。

B、将自身拷贝到 %SystemRoot%\csrss.exe

C、在注册表以下位置
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
添加值
"BagleAV"="%SystemRoot%\csrss.exe"
以使得病毒随机自启动。

D、在注册表以下位置
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除值
"drvsys.exe"="%SystemRoot%\drvsys.exe"
"ssgrate.exe"="%SystemRoot%\ssgrate.exe"
以便卸载系统中残留的恶鹰病毒。

E、从系统中具有以下扩展名的文件中收集邮件地址
.a
.ad
.adb
.as
.asp
.c
.cf
.cfg
.cg
.cgi
.d
.db
.dbx
.dh
.dht
.dhtm
.do
.doc
.e
.em
.eml
.h
.ht
.htm
.html
.j
.js
.jsp
.m
.mb
.mbx
.md
.mdx
.mh
.mht
.mm
.mmf
.ms
.msg
.n
.nc
.nch
.o
.od
.ods
.of
.oft
.p
.ph
.php
.pl
.pp
.ppt
.r
.rt
.rtf
.s
.sh
.sht
.shtm
.st
.stm
.t
.tb
.tbb
.tx
.txt
.u
.ui
.uin
.v
.vb
.vbs
.w
.wa
.wab
.ws
.wsh
.x
.xl
.xls
.xm
.xml

F、使用自带的SMTP引擎对外发送邮件

邮件主题：（会在以下主题中任选一个）
Correction
Hurts
Privacy
Password
Wow
Criminal
Pictures
Text
Money
Stolen
Found
Numbers
Funny
Only love?
More samples
Picture
Letter
Question
Illegal

邮件正文：（会在以下主题中任选一个）
Please use the font arial!
How can I help you?
Still?
I've your password. Take it easy!
Why do you show your body?
Hey, are you criminal?
Your pictures are good!
The text you sent to me is not so good!
True love letter?
Do you have no money?
Do you have asked me?
I've found your creditcard. Check the data!
Are your numbers correct?
You have no chance...
Wow! Why are you so shy?
Do you have more samples?
Do you have more photos about you?
Do you have written the letter?
Does it hurt you?
Please do not sent me your illegal stuff again!!!

邮件附件名：（即包含的病毒文件的名称）
corrected_doc.pif
hurts.pif
document1.pif
passwords02.pif
image034.pif
myabuselist.pif
your_picture01.pif
your_text01.pif
your_letter.pif
your_bill.pif
my_stolen_document.pif
visa_data.pif
pin_tel.pif
your_text.pif
loveletter02.pif
all_pictures.pif
your_letter_03.pif
your_picture.pif
abuses.pif

G、病毒通过系统默认指定的DNS服务器获取对方邮件服务器的IP地址，如果失败，将尝试使用以下DNS来获取。
212.44.160.8
195.185.185.195
151.189.13.35
213.191.74.19
193.189.244.205
145.253.2.171
193.141.40.42
193.193.144.12
217.5.97.137
195.20.224.234
194.25.2.130
194.25.2.129
212.185.252.136
212.185.253.70
212.185.252.73
62.155.255.16
194.25.2.134
194.25.2.133
194.25.2.132
194.25.2.131
193.193.158.10
212.7.128.165
212.7.128.162

　解决方案:

　　· 请使用金山毒霸2004年04月30日的病毒库可完全处理该病毒；

　　· 使用QQ聊天时，不要轻易点击可疑的链接;强烈推荐使用IE6.0，并打上最新的系统补丁；

　　· 手工解决方案
　
　　　首先，若系统为WinMe，则请先关闭系统还原功能；
　　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是Win9x/WinMe：

　　步骤一，删除病毒主程序
　　请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为
　　C:\windows），分别输入以下命令，以便删除病毒程序：
　　C:\windows\>del csrss.exe
　　完毕后，取出系统软盘，重新引导到Windows系统。
　　如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

　　步骤二，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"BagleAV"="%SystemRoot%\csrss.exe"
　　关闭注册表编辑器。

　 对于系统是Windows NT, Windows 2000, Windows XP, Windows 2003 Sever：

　　步骤一，启动系统进入安全模式；

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入系统目录（Winnt或windows)，找到文件
　　"csrss.exe"将它们删除；

　　步骤三，清除病毒在注册表里添加的项
　　打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
　　在右边的面板中, 找到并删除如下项目：
　　"BagleAV"="%SystemRoot%\csrss.exe"
　　关闭注册表编辑器.