病毒名称:
Worm.Win32.Heher.h
类别： 蠕虫病毒
病毒资料：
破坏方法：
一个蠕虫病毒.
病毒行为:
病毒运行后,将自己复制到％system％目录下,文件名为:nbwH.exe.随后病毒释放一个名为:~00*.bat的临时文件,并启动(该脚本为一个自杀脚本,负责删除当前运行的程序的对应文件.)之后,病毒启动在％system％目录下的复本实现以下功能.
(注:病毒会清除本地系统的的Security事件记录信息.)
病毒将在当前目录生成一个名为nbfil.dll的文件,该文件是病毒的log文件,病毒传播成功,删除掉一个黑名单里的VIrus都会记录.
1.局域网传播:
病毒随机生成ip地址,并尝试对其进行135,445端口的联接..如果成功.病毒将试着枚举该系统上的共享资源.并使用账号:
Administrator
Guset
Owner
对其进行ipc$空密码联接.一但成功..病毒将自己复制到目标系统上文件名为:nbwH.exe
之后病毒利用NetScheduleJobAdd向目标系统,增加病毒文件做为定时调度任务.以达到传播目的.
2.监视
病毒1/4秒为周期进行以下动作.
1.在注册表
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run
加以键值:"MSNavWH"=％system％\nbwH.exe
2.遍历系统进程表杀死和黑名单里的文件名相符的进程.
3.删除注册表
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run
中以下键
MSNavW
MSNavWA
MSNavWB
MSNavWC
MSNavWD
MSNavWE
MSNavWF
MSNavWG
4.删除％system％目录中和黑名单里的文件名相符的文件.
5.删除"开始菜单","我的文档"..等目录中和黑名单里的文件名相符的文件.
黑名单:
MSWkwr.exe
MSWkwrA.exe
MSWkwrB.exe
MSWkwrC.exe
MSWkwrD.exe
MSWkwrE.exe
MSWkwrF.exe
MSWkwrG.exe
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-12-22