病毒名称： Worm.Win32.Viking.k
病毒类型： 蠕虫
文件 MD5： 799D9C7311FE9E559CF5E4C55C7405D2
公开范围： 完全公开
危害等级： 中
文件长度： 27,192 字节
感染系统： windows98以上版本
开发工具： Borland Delphi 5.0
加壳类型： Upack 2.4 - 2.9
命名对照： Symentec[Win32.looked.J]
Mcafee[W32.Gavir.worm]
病毒描述：
该病毒属蠕虫类，病毒图标为压缩文件RAR图标，以迷惑用户点击运行。病毒运行后，将自身复制到系统文件夹%windows%下，文件名为rundll32.exe，释放病毒文件，修改注册表，添加启动项，以达到随机启动的目的，联接网络，开启端口，下载病毒文件，病毒尝试终止相关杀病毒软件，病毒主要通过共享目录、文件捆绑、运行被感染病毒的程序、可带病毒的邮件附件等方式进行传播。该病毒对用户有一定危害。
行为分析：
1、病毒图标为压缩文件RAR图标，用以迷惑用户点击运行。
2、病毒运行后，将自身复制到系统文件夹下，并释放病毒文件：
%Windir%
undll32.exe
%Program files%\_desktop.ini
病毒所在目录vDll.dll文件
释放病毒文件到系统根目录下_desktop.ini
3、联接网络，开启端口，下载病毒文件：
联接网络：
TCP：61.152.116.22
端口：随机开启1024以上端口
病毒位置：病毒名称：
%Windir% sy.exeTrojan-PSW.Win32.WOW.dj
%Windir%1sy.exe
在系统盘的根目录下下载1.txt
系统盘根目录BBWOWBBMS_DLL.DLLTrojan-PSW.Win32.WOW.db
系统盘根目录TODAYNEWTODAYNEW.DLL
4、修改注册表，添加启动项，以达到随机启动的目的：
HKEY_CURRENT_USERSoftwareMicrosoftWindows NT
CurrentVersionWindows
键值: 字串: "load "="C:WINDOWS
undl132.exe"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftDownloadManager
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsver_down0
值: dsfsfaa[Startup]..AppName=ATISoftwarer=sss
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
键值: 字串: "ver_down1"="COM+[7:18:32]: Setup started -
[DATE:05,22,2006 TIME: 07:18 pm]11111"
HKEY_LOCAL_MACHINESOFTWARESoft
HKEY_LOCAL_MACHINESOFTWARESoftDownloadWWW
HKEY_LOCAL_MACHINESOFTWARESoftDownloadWWWauto
值: "1"
5、病毒尝试终止相关杀病毒软件：
net stop "Kingsoft AntiVirus Service"
6、该病毒主要通过共享目录、文件捆绑、运行被感染病毒的程序、可带病毒的邮件附件等方式进行传播。
注：%Windir%是一个可变路径。病毒通过查询操作系统来决定当前windir文件夹的位置。Windows2000/NT中默认的安装路径是C:Winnt，windows95/98/me/xp中默认的安装路径是C:Windows
%Program files%是一个可变路径。病毒通过查询操作系统来决定当前Program files文件夹的位置。Windows操作系统中默认的安装路径是C:Program Files。
% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案 ：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
系统根目录\_desktop.ini
系统盘根目录1.txt
病毒所在目录vDll.dll文件
%Windir%
undll32.exe
%Program files%\_desktop.ini
%Windir% sy.exe
%Windir%1sy.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_CURRENT_USERSoftwareMicrosoftWindows NT
CurrentVersionWindows
键值: 字串: "load "="C:WINDOWS
undl132.exe"
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
DownloadManager
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windowsver_down0
值: dsfsfaa[Startup]..AppName=ATISoftwarer=sss
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
键值: 字串: "ver_down1"="COM+[7:18:32]: Setup started
- [DATE:05,22,2006 TIME: 07:18 pm]11111"
HKEY_LOCAL_MACHINESOFTWARESoft
HKEY_LOCAL_MACHINESOFTWARESoftDownloadWWW
HKEY_LOCAL_MACHINESOFTWARESoftDownloadWWWauto
值: "1"
