病毒名称:
Trojan.QQMsg.WhBoy.d
类别: 木马病毒
病毒资料:
破坏方法:
这是恶意站点www.***leo520.com故意释放的病毒,自称是“武汉男生”,有两部分组成,分别负责传播和偷传奇密码。
病毒采用WindowsXP图标,具有很大迷惑性;利用聊天软件和IE6的新漏洞,传播迅速。
一、病毒驻留内存,每隔二十五秒钟查找聊天软件的“发送”、“送信息”按钮,在聊天信息的后面添加病毒信息,
说什么“www.***leo520.com网页不错”,诱惑用户连接。
二、当用户连接该网站后,如果用户的IE是6,仅仅打了sp1,病毒会自动下载并运行。
三、释放下列文件到系统中:
MM.EXE、
INTRENAT.EXE、
WINSOCKS.DLL、
SYSTARY.EXE、
SYSNOT.EXE、
UPDATER.EXE
其中,前三个是病毒自身拷贝;后面三个是偷传奇密码的病毒,请参考Trojan.LMir.WhBoy.c。
四、修改注册表,当用户开机、打开文本文件时,都会激活病毒。
1
HKEY_CLASSES_ROOT\txtfile\shell\open\command
(默认) : %SYSTEM%\SYSNOT.EXE %1
2
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Currentversion\Run
Intrenat : %WINDOWS%\intrenat.exe
3
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Currentversion\RunServices
Intrenat : %WINDOWS%\intrenat.exe
4
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Currentversion\RunServices
windows update : %SYSTEM%\updater.exe
5
SYSTEM.INI\BOOT
SHELL : Explorer.exe %SYSTEM%\systary.exe
五、建议
如果用户收到类似信息,千万不要连接那个站点;
IE6的补丁SP1不能解决上述漏洞,请把IE6升级为最新。
病毒的清除法:
使用光华反病毒软件,彻底删除。
病毒演示:
病毒FAQ:
Windows下的PE病毒。
发现日期:
2003-11-15