一个蠕虫病毒.
病毒行为:
病毒运行后,将自己复制到％system％目录下,文件名为:％随机字符％.exe,当系统为win9x时病毒将在注册表
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run中
加入以下键值:
"WinNetDDE" = ％SYSTEM％\％随机字符％.EXE
如果系统为NT时,病毒将建一个名为:WebPoster的服务.以达到随系统启动而启动的目的。
随后病毒驻留内存,执行以下任务：
1.病毒从特定的网站上下载要传播的ip地址范围列表,并将其保存在％system％目录下,文件名为:sysipx_dat
2.病毒从特定网站上下载一个任务表,并执行其指定的命令,(从表中指定的网站上下载文件并执行)
3.利用漏洞传播,病毒从sysipx_dat文件中读取"传播范围条目" 如:
xxx.xxx.xxx-xxx,或xxx.xxx.* 等对其进行MS04011漏洞及"冲击波"漏洞攻击.病毒能通过和目标系统建立的ipc联接时的smb协议判断出目标系统的操作系统.以选择不同的"返回地址"达到提高溢出攻击效率。
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2005-1-13
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
