病毒名称:
Worm.Colevo.a
类别： 蠕虫病毒
病毒资料：
破坏方法：
Dephi写的蠕虫，采用PECompact压缩，病毒通过MSN中的邮件地址进行邮件传播病毒通过修改注册表来自启动，相关键值为：
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run\system ％WinDir％\system.exe
HKCU\Software\Microsoft\Windows
\CurrentVersion\Run\1\2\3\4\System
％WinDir％\system.exe
HKCU\Software\Microsoft\Windows
\CurrentVersion\RunSevices\System
％WinDir％\system.exe
HKCU\Software\Microsoft\Windows
\CurrentVersion\RunSevicesOnce\System
％WinDir％\temp.exe
HKLM\Software\Microsoft\Windows
\CurrentVersion\Run\System
％WinDir％\system.exe
HKLM\Software\Microsoft\Windows
\CurrentVersion\Run\1\2\3\4\System
％WinDir％\temp.exe
HKLM\Software\Microsoft\Windows
\CurrentVersion\RunSevices\System
％WinDir％\commands.com
同时病毒修改了下列扩展名的文件关联：
exe、com、bat、pif、hta
以及系统文件win.ini、system.ini的启动项
病毒运行后，复制自己到下列目录，列表如下：
％WINDIR％\COMMAND.EXE
％WINDIR％\SYSTEM.EXE
％WINDIR％\HOT GIRL.SCR
％WINDIR％\ALL USERS.EXE
％WINDIR％\INF.EXE
％WINDIR％\TEMP.EXE
％WINDIR％\INTERNET DOWNLOAD.EXE
％WINDIR％\SHELL.EXE
％WINDIR％\SYSTEM32.EXE
％WINDIR％\SYSTEM64.PIF
％WINDIR％\INTERNET FILE.EXE
％WINDIR％\PART HARD DISK.EXE
％WINDIR％\SYSTEM32\COMMAND.COM
％WINDIR％\SYSTEM32\NET.COM
％WINDIR％\SYSTEM32\WWW.MICROSOFT.COM
％WINDIR％\SYSTEM32\INF.EXE
C:\RECYCLED\EVO MORALES.SCR
病毒通过邮件发送email传播时所发送的email内容为：
标题是：El adelanto de matrix ta gueno?
内容为：
Pablo_Hack
Oye te U paso el programa para entrar a cuentas del messenger, y facilingo te lo paso a voz nomas, prometeme que no se lo pasas a nadie, ya?Respondeme que tal te parecio. Chau?
附件名：hotmailpass.exe
病毒带有后门功能：
运行后病毒打开并监听TCP端口，等待远程控制端的连接
病毒完成其功能后会打开IE，并自动连接到下列连接：
http://***.net/Bolivia/images
/Bolivia.Sept.2K.000.jpg
http://***.bbc.co.uk/olmedia/775000
/images/_778100_morales1.jpg
http://www.***.org/headlines/images
/100700-01.jpg
http://www-i.***.com.ni/archivo/2002/julio
/elmundo/elmundo-20020709-01.jpg
http://www.***.uu.se/mapUChe/indgen
/puntofinal020822.jpg
http://www.***.com/library/images
/uploads/2409-Evo-morales-speaking.jpg
http://www.***.cl/news/img/evom.jpg
http://***.lycos.fr/asocamerlat/evo％20morales_bolivia2.gif
http://***.bbc.co.uk/media/images/38128000
/38128025_020710bolivia300b.jpg
http://www.***.org/noalca/noticias/fotos
/AB_0_039.jpg
即玻利维亚领导人埃瓦.莫里斯的照片
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2003-7-2
