Worm.Mydoom.i

病毒名称(中文):

病毒别名:

威胁级别:

★★★☆☆

病毒类型:

蠕虫病毒

病毒长度:

50

影响系统:

Win9xWinMeWinNTWin2000WinXP

病毒行为:

Mydoom

编写工具:

vc

传染条件:

Worm.Mydoom.i驻留内存，不同于Worm.Mydoom.h，这个变种没有安装后门和DDos攻击部分，与Worm.Mydoom.A病毒相似。病毒有一个由邮件主题，信体和附件文件名三部分组成的列表，病毒从列表中选择邮件各部分组成邮件信息。病毒使用虚假的发信人地址，使人相信病毒邮件是从不同用户发出来的，而不是受感染用户。

发作条件:

系统修改:

1，通过打开互斥体"SwebSipcSmtxS0,"来判定病毒是否已经驻留。

2，创建%Temp%Message文件并用随机内容填充，并用记事本打开显示。

3，拷贝自身到%System%askmon.exe.

4，拷贝3个随机名称的DLL文件到%System%目录

5，添加下列注册表项

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

"Taskmon"="%System%askmon.exe"

获得自动运行资格

6，假如用户使用了KaZaA(一种p2p工具)，将会拷贝病毒自身到KazaA的download的目录，名称为：

icq2004-final

activation_crack

strip-girl-2.0bdcom_patches

rootkitXP

office_crack

nuke2004

winamp5

扩展名为下列随机名称：

.exe

.scr

.pif

.cmd

.bat

.com

.zip

7，拷贝一个扩展名为dll的文件到%System%目录，这是一个监听用户信息的木马，通过邮件来发送监听结果给攻击者。

8，从扩展名为下列的文件中搜索邮件地址：

.adb

.asp

.dbx

.htm

.php

.pl

.sht

.tbb

.txt

.wab

9，拖过自己smtp向搜索到的邮件地址发送邮件：

发件人：随机

标题从下列随机选取：

test

hi

hello

MailDeliverySystem

MailTransactionFailed

ServerReport

Status

Error

内容为：

Mailtransactionfailed.Partialmessageisavailable.

ThemessagecontainsUnicodecharactersandhasbeensentasabinaryattachment.

Themessagecannotberepresentedin7-bitASCIIencodingandhasbeensentasabinaryattachment.

test

附件为病毒自身拷贝，名字从下列两部分组合：

body

data

doc

document

file

message

readme

test

text

扩展名：

.exe

.scr

.pif

.cmd

.bat

.com

.zip

也可能是双重扩展名

[htm,txt,ordoc][spaces].[exe,scr,orpif]

10，试图结束下列进程：

_AVP32.EXE

_AVPCC.EXE

_AVPM.EXE

ACKWIN32.EXE

ANTI-TROJAN.EXE

APVXDWIN.EXE

AUTODOWN.EXE

AVCONSOL.EXE

AVE32.EXE

AVGCTRL.EXE

AVKSERV.EXE

AVNT.EXE

AVP.EXE

AVP32.EXE

AVPCC.EXE

AVPDOS32.EXE

AVPM.EXE

AVPTC32.EXE

AVPUPD.EXE

AVSCHED32.EXE

AVWIN95.EXE

AVWUPD32.EXE

BLACKD.EXE

BLACKICE.EXE

CFIADMIN.EXE

CFIAUDIT.EXE

CFINET.EXE

CFINET32.EXE

CLAW95.EXE

CLAW95CF.EXE

CLEANER.EXE

CLEANER3.EXE

DVP95.EXE

DVP95_0.EXE

ECENGINE.EXE

ESAFE.EXE

ESPWATCH.EXE

F-AGNT95.EXE

FINDVIRU.EXE

FPROT.EXE

F-PROT.EXE

F-PROT95.EXE

FP-WIN.EXE

FRW.EXE

F-STOPW.EXE

IAMAPP.EXE

IAMSERV.EXE

IBMASN.EXE

IBMAVSP.EXE

ICLOAD95.EXE

ICLOADNT.EXE

ICMON.EXE

ICSUPP95.EXE

ICSUPPNT.EXE

IFACE.EXE

IOMON98.EXE

JEDI.EXE

LOCKDOWN2000.EXE

LOOKOUT.EXE

LUALL.EXE

MOOLIVE.EXE

MPFTRAY.EXE

N32SCANW.EXE

NAVAPW32.EXE

NAVLU32.EXE

NAVNT.EXE

NAVW32.EXE

NAVWNT.EXE

NISUM.EXE

NMAIN.EXE

NORMIST.EXE

NUPGRADE.EXE

NVC95.EXE

OUTPOST.EXE

PADMIN.EXE

PAVCL.EXE

PAVSCHED.EXE

PAVW.EXE

PCCWIN98.EXE

PCFWALLICON.EXE

PERSFW.EXE

RAV7.EXE

RAV7WIN.EXE

RESCUE.EXE

SAFEWEB.EXE

SCAN32.EXE

SCAN95.EXE

SCANPM.EXE

SCRSCAN.EXE

SERV95.EXE

SMC.EXE

SPHINX.EXE

SWEEP95.EXE

TBSCAN.EXE

TCA.EXE

TDS2-98.EXE

TDS2-NT.EXE

VET95.EXE

VETTRAY.EXE

VSCAN40.EXE

VSECOMR.EXE

VSHWIN32.EXE

VSSTAT.EXE

WEBSCANX.EXE

WFINDV32.EXE

ZONEALARM.EXE

发作现象:

非凡说明:

• ·Win32.Kriz
• ·Win32.Hack.Agobot.ql
• ·Worm.NetSky.y
• ·Worm.NetSky.z
• ·Win32.Troj.QQpass.ak
• ·Worm.Sexer.e
• ·Worm.Supnot.x
• ·Infect.AccAvenger.873
• ·Infect.AccAvenger.873
• ·Win32.Troj.QQmsgBook.g