病毒名称:
Worm.Mail.Smith.e
类别： 蠕虫
病毒资料：
破坏方法：
采用Borland C++写的病毒，通过邮件传播自己，运行后将导致计算机无法正常使用。
病毒运行后有以下行为:
一、修改下列注册表键：
1.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run
"WinServer.exe" = "C:\WINDOWS\system32\WinServer.exe"
2.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"WinBios.exe" = "C:\WINDOWS\system32\WinBios.exe"
3.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\RunOnce
"NetBios.exe" = "C:\WINDOWS\system32\NetBios.exe"
4.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\RunOnce
"NetServer.exe" = "C:\WINDOWS\system32\NetServer.exe"
5. HKLM\SOFTWARE\Classes\.inf\(默认) = "txtfile"
原来为：inffile
6. HKLM\SOFTWARE\Classes\.reg\(默认) = "txtfile"
原来为：regfile
7.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\System
DisableRegistryTools = 0x1
8.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\EXPlorer
NoRun = 0x1
9.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoDrives = 0x8
10.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoRealMode = 0x1
11.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoLogOff = 0x1
12.HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoSetTaskBar = 0x1
13.HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explore
NoChangeStartMenu = 0x1
14.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoStartMenu = 0x1
15.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoSetFolders = 0x1
16.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoFolderOptions = 0x1
17.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoFind = 0x1
18.
HKCU\Software\Microsoft\Windows\CurrentVersion
\Policies\Explorer
NoRecentDocsMenu = 0x1
19.HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main
"Show_URLToolBar" = "no"
20.HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main
"Show_StatusBar" = "no"
21.HKU\.DEFAULT\Control Panel\desktop
"AutoEndTasks" = "no"
22.HKCR\txtfile\shell\open\command\(默认) = "C:\WINDOWS\system32\WinNote.exe"
23.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
\WinLogon
"LegalNoticeCaption" = "美丽的丽江"
"LegalNoticeText" = "欢迎进入美丽的丽江！"
二、将自己复制到以下目录：
C:\WINDOWS\system32\WinServer.exe
C:\WINDOWS\system32\Setup.exe
C:\WINDOWS\system32\NetBios.exe
C:\WINDOWS\system32\NetServer.exe
C:\WINDOWS\system32\WinNote.exe
C:\WINDOWS\system32\WinProfile.exe
C:\WINDOWS\system32\WinLoadfile.exe
C:\WINDOWS\system32\WinAuto.exe
C:\WINDOWS\system\WinConfig.exe
三、通过邮件传播自己：
邮件接收用户名为：username@sina.com.cn 、username@263.com.cn、username@163.com、username@126.com、username@263.net、username@yahoo.com.cn、username@sohu.com、username@china.com、username@hotmail.com、username@MSN.com，其中"username"为下列字符串的随机组合：zhang li ling lie le la lao liao ca cai co cu cun can ce bai bi bao bo
bang di da dan dang du dun de ding din e er en eng fu fa fen fan
fong feng hua hao hen huo ha hong ka kan ke ku kong la
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-8-27
