病毒名称:
Worm.Novarg.m.enc
类别： 蠕虫病毒
病毒资料：
破坏方法：蠕虫病毒。
一、蠕虫型病毒，采用upx压缩。图标为Windows系统邮件文件类型的默认图
标。
邮件附件中的病毒经过压缩，为zip类型。
二、文件和注册表
1. 病毒复制自身到系统目录，命名为“lsass.exe”，添加到注册表启动
项。
HKEY_LOCAL_MACHINE Software\Microsoft
\Windows\CurrentVersion\Run\Traybar
2. 病毒会遍历所有目录，复制自身到包含下列文件的目录下：“
incoming”、“FTProot”、“download”、“shar”。
这些目录往往提供文件下载，利于病毒传播。
病毒携带几十个名字，命名时与后缀“.com”、".exe"、\“.pif”随机
组合。例如：
Harry Potter.com、ICQ 4 Lite.com、index.exe、Harry Potter.com、
Kazaa Lite.ShareReactor.com
WinAMP 5.0 (en) Crack.ShareReactor.com、WinRAR.v.3.2.and.key.
com.......
三、病毒试图从“Software\Microsoft\WAB\WAB4\Wab File Name” 读取当前
用户的系统ID。
四、病毒后门传播。
试图连接随机ip 的1042端口。 病毒将随机计算ip地址并对这些地址尝
试对其3127端口的连接。
如果那个IP地址的主机中了Worm.Novarg病毒，病毒将自己传给目标系统。以
达到“升级”传播的目的。
五、遍历磁盘文件，提取邮件地址后，向其发送携带病毒的邮件。
病毒保留数种正文模版，随机从中挑选，如下：
This Message was undeliverable due to the following reason:
Your message was not delivered because the destination computer was
not reachable within the allowed queue period. The amount of time
a message is queued before it is returned depends on local
configura-
tion parameters.
Most likely there is a network problem that prevented delivery, but
it is also possible that the computer is turned off, or does not
have a mail system running right now.
Your message was not delivered within 2 days:
Host 93.85.52.56 is not responding.
The following recipients did not receive this message:
Please reply to postmaster@sysinternals.com
if you feel this message to be in error.
六、病毒查找窗口“rctrl_renwnd32”、“ATH_Note”、“IEFrame”，找到后向其
发送退出或者关闭消息。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-7-23
