一个蠕虫病毒.
病毒行为:
病毒运行后,将自己复制到％system％目录下,文件名为:nbwH.exe.随后病毒释放一个名为:~00*.bat的临时文件,并启动(该脚本为一个自杀脚本,负责删除当前运行的程序的对应文件.)之后,病毒启动在％system％目录下的复本实现以下功能.
(注:病毒会清除本地系统的的Security事件记录信息.)
病毒将在当前目录生成一个名为nbfil.dll的文件,该文件是病毒的log文件,病毒传播成功,删除掉一个黑名单里的VIrus都会记录.
1.局域网传播:
病毒随机生成ip地址,并尝试对其进行135,445端口的联接..如果成功.病毒将试着枚举该系统上的共享资源.并使用账号:
Administrator
Guset
Owner
对其进行ipc$空密码联接.一但成功..病毒将自己复制到目标系统上文件名为:nbwH.exe
之后病毒利用NetScheduleJobAdd向目标系统,增加病毒文件做为定时调度任务.以达到传播目的.
2.监视
病毒1/4秒为周期进行以下动作.
1.在注册表
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run
加以键值:"MSNavWH"=％system％\nbwH.exe
2.遍历系统进程表杀死和黑名单里的文件名相符的进程.
3.删除注册表
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run
中以下键
MSNavW
MSNavWA
MSNavWB
MSNavWC
MSNavWD
MSNavWE
MSNavWF
MSNavWG
4.删除％system％目录中和黑名单里的文件名相符的文件.
5.删除"开始菜单","我的文档"..等目录中和黑名单里的文件名相符的文件.
黑名单:
MSWkwr.exe
MSWkwrA.exe
MSWkwrB.exe
MSWkwrC.exe
MSWkwrD.exe
MSWkwrE.exe
MSWkwrF.exe
MSWkwrG.exe
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2004-12-22
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
