I-Worm/BBEagle.ac
病毒类型：网络蠕虫
危害等级：**
影响平台：Win9X/2000/XP/NT/Me/2003
I-Worm/BBEagle.ac在感染计算机上搜索电子邮件地址，利用其自带的SMTP引擎通过发送电子邮件传播。带毒电子邮件的主题、内容和附件名称随机变化。病毒在被感染计算机上打开后门端口1080。
传播过程及特征：
1.生成文件：
%System%sys_xp.exe
%System%sys_xp.exeopen
%System%sys_xp.exeopenopen 含毒zip文件，或病毒cpl文件
2.修改注册表：
/删除注册表启动项下键值
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
包含下列字符串的键值
"My AV"
"Zone Labs Client Ex"
"9XHtProtect"
"Antivirus"
"Special Firewall Service"
"service"
"Tiny AV"
"ICQNet"
"HtProtect"
"NetDy"
"Jammer2nd"
"FirewallSvr"
"MsInfo"
"SysMonXP"
"EasyAV"
"PandaAVEngine"
"Norton Antivirus AV"
"KasperskyAVEng"
"SkynetsRevenge"
"ICQ Net"
/添加键值
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]
"key" = "%System%sys_xp.exe"
3.在感染的计算机上打开后门端口1080，可以用于转发邮件。
4.自动关闭大多数常用杀毒软件和监测工具的进程。
5.将自身复制到名字中包含“shar”的文件夹中，病毒程序可能使用的名称有：
ACDSee 9.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
Kaspersky Antivirus 5.0
KAV 5.0
Matrix 3 Revolution English Subtitles.exe
Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Opera 8 New!.exe
Porno pics arhive, xxx.exe
Porno Screensaver.scr
Porno, sex, oral, anal cool, awesome!!.exe
Serials.txt.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe
6.连接多个网页脚本。
7.从下列类型的文件中搜索邮件地址
.adb .asp .cfg .cgi .dbx .dhtm .eml .htm .jsp
.mbx .mdx .mht .mmf .msg .nch .ods .oft .php
.pl .sht .shtm .stm .tbb .txt .uin .wab .wsh
.xls .xml
利用自带的SMTP引擎发送邮件到上述地址，邮件特征：
发件人：伪造地址
主题：下列之一
Changes..
Encrypted document
Fax Message
Forum notify
Incoming message
Notification
Protected message
Re: Document
Re: Hello
Re: Hi
Re: Incoming Message
RE: Incoming Msg
RE: Message Notify
Re: Msg reply
RE: Protected message
RE: Text message
Re: Thank you!
Re: Thanks :)
Re: Yahoo!
Site changes
Update
附件：扩展名为.exe/.scr/.com/.cpl/.zip
附件名为下列之一
Information
Details
text_document
Updates
Readme
Document
Info
MoreInfo
Message
注：%Windir%为变量，一般为C:Windows 或 C:Winnt；
%System%为变量，一般为C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000),
或 C:WindowsSystem32 (Windows XP)。
