病毒名称:
Worm.Sober.d.enc
类别： 蠕虫
病毒资料：
破坏方法：
一个用vb编写的蠕虫病毒，采用upx压缩
病毒行为：
病毒一运行将自己复制到％System％\目录下，文件名为：smss32win.exe.
并在注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
及HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
中加入自己的随机键值，字符由以下字串组合
sys,host ,dir ,eXPlorer ,win ,run ,log ,32 ,disc ,crypt ,data ,diag ,spool service ,smss32
病毒从磁盘中的以下文件中搜索email地址：
.abd
.adb
.ASP
.dbx
.doc
.eml
.ini
.log
.mdb
.PHP
.pl
.rtf
.sHtml
.tbb
.ttt
.txt
.wab
.xls
邮件标题为以下之一：
Microsoft Alert: Please Read! Message-ID:
characters].qmail@microsoft.com
Microsoft Alarm: Bitte Lesen! Message-ID:
characters].qmail@microsoft.com
内容：为以下之一
New MyDoom Virus Variant Detected!
A new variant of the W32.Mydoom (W32.Novarg) worm spread rapidly through the Internet.
Anti-virus vendor Central Command claims that 1 in 45 e-mails contains the MyDoom virus.
The worm also has a backdoor Trojan capability.
By default, the Trojan component listens on port 13468.
Protection:
Please download this digitally signed attachment.
This Update includes the functionality of previously released patches.
+++ ?2004 Microsoft Corporation. All rights reserved.
+++ One Microsoft Way, Redmond, Washington 98052
+++ Restricted Rights at 48 CFR 52.227-19
Neue Virus-Variante W32.Mydoom verbreitet sich schnell.
Eine neue Mydoom-Variante verbreitet sich derzeit rasend schnell im Internet.
Wie seine Vorg?nger verschickt sich der Wurm von infizierten Windows-Rechnern per
E-Mail an weitere Adressen.
Zudem installiert er auf infizierten Systemen einen gef?hrlichen Trojaner!
Führende Virenspezialisten melden bereis ein vermehrtes Aufkommen des
W32.Mydoom alias W32.Novarg.
Bitte daten Sie Ihr System mit dem Patch ab, um sich vor diesem Sch?dling zu schützen!
+++ ?2004 Microsoft Corporation. Alle Rechte vorbehalten.
+++ Microsoft Deutschland GmbH, Konrad-Zuse-Strasse
+++ 85716 Unterschleissheim, HRB 70438, DE 129 415 943
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-3-9