病毒名称(中文):
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
蠕虫病毒
病毒长度:
61952
影响系统:
Win9xWinNT
病毒行为:
这是一个蠕虫病毒，病毒是通过MSN，文件共享和CD传播的，病毒具有反调试功能。
1.生成文件：
%System%\formatsys.exe
%System%\serbw.exe
%Windows%\msmbw.exe
\lspt.exe
2.修改注册表起始项，使病毒开机运行：
HKLM\Software\Microsoft\Windows\CurrentVersion\RunHKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesHKCU\Microsoft\Windows\CurruntVersion\RunHKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer
键名可能是以下任意一个：
ltwob
serpe
avnort
键值可能是：
%System%\formatsys.exe
%System%\serbw.exe
%Windows%\msmbw.exe
3.建立一个互斥量"-F-u-c-k-"-Y-o-u-"，保证只有一个病毒程序在运行。
4.传播方式：
通过MSN传播：
蠕虫会利用之前在根目录下生成文件通过MSN进行传播，可能是以下随机的一个文件名：
Crazyfroggetskilledbytrain!.pif
Annoyingcrazyfroggettingkilled.pif
Seemylesbianfriends.pif
LOLthaturpic!.pif
Mynewphoto!.pif
Meonholiday!.pif
TheCatAndTheFanpiccy.pif
HowaBlondeEatsaBanana...pif
MonaLisaWantsHerSmileBack.pif
ToplessinMiniSkirt!lol.pif
FatElvis!lol.pif
JenniferLopez.scr
5.通过网络共享传播
病毒会尝试通过网络共享进行传播，可能将病毒复制到以下共享文件夹：
\MySharedFolder
\ProgramFiles\eMule\Incoming
\DocumentsandSettings\\Shared
病毒复制到以上文件夹时，会使用以下文件名：
MessengerPlus!3.50.exe
MSNallversionpolygamy.exe
MSNnudgebomb.exe
6.通过CDRom传播
病毒会把自己复制到以下位置：
\DocumentsandSettings\\localSettings\ApplicationData\Microsoft\CDBurning\autorun.exe
这个文件夹保存的文件会被写入CD中。
在相同的文件夹中也会生成"autorun.inf"文件，它可以使以上文件自动运行。在进行光盘刻录其他文件的时候就会把病毒就会刻录入CD中。
7.下载文件
蠕虫会从http://frog.0catch.com/BNP.jpg下载文件，保存为"\BritishNationalParty.jpg"。每月的1,7,10,19,25,26,30日，显示这个图片。
8.病毒会终止以下进程：
avengine.exe
apvxdwin.exe
atupdater.exe
aupdate.exe
autodown.exe
autotrace.exe
autoupdate.exe
avconsol.exe
avsynmgr.exe
avwupd32.exe
avxquar.exe
bawindo.exe
blackd.exe
ccapp.exe
ccevtmgr.exe
ccproxy.exe
ccpxysvc.exe
cfiaudit.exe
defwatch.exe
drwebupw.exe
escanh95.exe
escanhnt.exe
nisum.exe
firewall.exe
frameworkservice.exe
icssuppnt.exe
icsupp95.exe
luall.exe
lucoms~1.exe
mcagent.exe
mcshield.exe
mcupdate.exe
mcvsescn.exe
mcvsrte.exe
mcvsshld.exe
navapsvc.exe
navapw32.exe
nopdb.exe
nprotect.exe
nupgrade.exe
outpost.exe
pavfires.exe
pavproxy.exe
pavsrv50.exe
rtvscan.exe
rulaunch.exe
savscan.exe
shstat.exe
sndsrvc.exe
symlcsvc.exe
Update.exe
updaterui.exe
vshwin32.exe
vsstat.exe
vstskmgr.exe
cmd.exe
msconfig.exe
msdev.exe
9.反调试，针对一下工具：
peid
petools
reshacker
w32dasm
winhex
10.病毒会尝试删除用户机器上的Worm.Ariss.c病毒.
11.修改host文件,屏蔽用户对以下网站的访问：
www.symantec.com
www.sophos.com
www.mcafee.com
www.viruslist.com
www.f-secure.com
www.avp.com
www.kaspersky.com
www.networkassociates.com
www.ca.com
www.my-etrust.com
www.nai.com
www.trendmicro.com
securityresponse.symantec.com
www.grisoft.com
symantec.com
sophos.com
mcafee.com
liveupdate.symantecliveupdate.com
ca.com
download.mcafee.com
