病毒名称:
Worm.Dumaru.ba
类别： 蠕虫
病毒资料：
破坏方法：
通过邮件传播的蠕虫病毒，采用FSG保护
1.本地感染：
一旦运行，病毒将复制自身到本地机器的系统目录下，文件名为：
％SYSDIR％\L32X.EXE
％STARTUP％\DLLXW.EXE
2.自启动：
它将创建下列注册表键值来使自己随Windows系统自启动：
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
"load32" = ％SYSDIR％\L32X.EXE
3.网络传播：
病毒搜索本机下列扩展名的文件来搜索Email地址并向这些地址发送带毒邮件：
.htm
.wab
.Html
.dbx
.tbb
.abd
发送邮件的消息标题为：
Important information for you. Read it immediately
正文：
Here is my photo, that you asked for yesterday.
...
附件是一个带有多个空格的可执行文件，由于文件名很长，且文件的图标为类似JPG图片的图标，很容易造成用户误以为是一张图片从而点击执行。
4.破坏行为：
病毒运行后会建立三个线程：
第一个用来监视剪贴板并将剪贴板的敏感内容保存在文件：rundllx.sys中以备后用
第二个用来记录键盘操作并保存在文件：vxdload.log中：
它设置钩子来拦截鼠标左键点击和键盘WM_KEYDOWN消息、
记录包含下列信息窗口过程的键盘操作记录：
https://www.e-gold.com/srk.ASP
e-gold Account Access
e-metal
bull
Bull
mull
PayPal
bank
另外一个用网络传播
病毒将向指定的email地址发送上述文件的内容，盗取用户信息
该病毒还能自动更新。
注: ％SYSDIR％ 是可变的WINDOWS系统文件夹，默认为： C:\Windows\System (Windows 95/98/Me),
C:\Winnt\System32 (Windows NT/2000),
或 C:\Windows\System32 (Windows XP).
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-2-4
