这是蠕虫病毒“恶鹰”新变种，病毒采用UPX压缩，使用32位汇编编写
病毒建互斥量：“MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D”以达到不重复运行的目的。
病毒体内的信息：
AV suxx, VX are ok, but tits are tits and bigger are BetterLexx Xin
Pong proud member of Golden Dragon vx teamArial
病毒释放如下文件：
％SYSDIR％\loader_name.exe --病毒本身
％SYSDIR％\loader_name.exeopen --病毒尾部附加随机数据
病毒向注册表添加如下值来自启动：
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run "reg_key" = "％SYSDIR％\loader_name.exe"
病毒将删除注册表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run
和
HKEY_CURRENT_USER\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run
中的以下键值：
ICQ Net
My AV
Zone Labs Client Ex
9XHtProtect
Antivirus
Special Firewall Service
service
Tiny AV
ICQNet
HtProtect
NetDy
Jammer2nd
FirewallSvr
MsInfo
SysMonXP
EasyAV
PandaAVEngine
Norton Antivirus AV
KASPerskyAVEng
SkynetsRevenge
病搜索以下扩展名文件，并尝试从提取出Email地址
.wab
.txt
.msg
.htm
.shtm
.stm
.XML
.dbx
.mbx
.mdx
.eml
.nch
.mmf
.ods
.cfg
.asp
.PHP
.pl
.wsh
.adb
.tbb
.sht
.xls
.oft
.uin
.cgi
.mht
.dhtm
.jsp
病毒将使用自己的 SMTP 引擎来发送EMAIL到上面搜到的EMAIL地址，EMAIL特征如下：
发送邮件地址: <伪地址>
主题: <下列之一>
Re: Msg reply
Re: Hello
Re: Yahoo!
Re: Thank you!
Re: Thanks :)
RE: Text message
Re: Document
Incoming message
Re: Incoming Message
RE: Incoming Msg
RE: Message Notify
Notification
Changes..
Update
Fax Message
Protected message
RE: Protected message
Forum notify
Site changes
Re: Hi
Encrypted document
正文:<下列之一>
Read the attach.
Your file is attached.
More info is in attach
See attach.
Please, have a look at the attached file.
Your document is attached.
Please, read the document.
Attach tells everything.
Attached file tells everything.
Check attached file for details.
Check attached file.
Pay attention at the attach.
See the attached file for details.
Message is in attach
Here is the file.
注：附件的病毒为zip文件，密码为病毒随机生成的图型文件中的数字。
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2004-7-19
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
