病毒名称(中文):
恶鹰变种xk
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
蠕虫病毒
病毒长度:
61291
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒通过邮件进行传播,并且利用pnpexploit(MS05-039)漏洞。病毒会屏蔽大量的安全软件网站,并从网上下载文件，并且会在受感染的机器的文件中搜索电子邮件地址，并向搜索到的地址发送邮件。通过发送各种软件的序列号来诱惑用户打开运行病毒程序。该病毒会向外发送大量的带毒邮件，严重影响到用户的安全。
1.首先通过尝试建立Breatle-X-Beagle的互斥变量名来确认系统中是否有其他恶鹰变种。
2.建立互斥变量，保持运行病毒的唯一性：
MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
3.生成文件：
%system%\winhost.exe
4.添加起始项，使病毒开机运行：
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
winhost.exe
5.删除注册表中的一下键的：
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
以下键值：
winhost.exe
WINDOWSSYSTEM
csmWinUpdates
WinDrg32
Wintbp.exe
Wintbpx.exe
wintnpx.exe
erthgdr
erthgdr2
6.修改Host文件,屏蔽大量安全网站：
127.0.0.1www.ca.com
127.0.0.1pandasoftware.com
127.0.0.1www.nai.com
127.0.0.1kaspersky.com
127.0.0.1www.f-secure.com
127.0.0.1download.mcafee.com
127.0.0.1www.my-etrust.com
127.0.0.1ca.com
127.0.0.1www.kaspersky.com
127.0.0.1www.sophos.com
127.0.0.1mcafee.com
127.0.0.1sophos.com
127.0.0.1www.mcafee.com
127.0.0.1symantec.com
127.0.0.1www.pandasoftware.com
127.0.0.1www.sarc.com
127.0.0.1trendmicro.com
127.0.0.1f-secure.com
127.0.0.1liveupdate.symantec.com
127.0.0.1us.mcafee.com
127.0.0.1www.symantec.com
127.0.0.1www.trendmicro.com
7.尝试链接下面的地址:
www.fbi.gov
www.sophos.com
8.从下面的网址下载病毒：
http://j0r.biz/proto.com
9.搜索用户计算机上的有效邮箱地址,向外面发送文件:
邮件的发送者通过一下组合:
域名为一下随机一个:
@msn
@microsoft
@messagelab
@iana
@foo
@avp
发送着为一下随机一个:
root@
rating@
postmaster@
pgp
panda
ntivi
norton
noreply
noone@
nobody@
news
local
listserv
linux
kasp
info@
microsoft
help@
gold-certs@
free-av
feste
f-secur
contract@
certific
cafee
bugs@
bsd
anyone@
admin
abuse
并且阻止向下面的域名发送:
@trendmicro.com
@sarc.com
@msn.com
@f-secure.com
@securityfocus.com
@security.com
@kaspersky.com
@symantec.com
@sophos.com
@yahoo.com
@mcafee.com
@microsoft.com
@ca.com
@aol.com
邮件内容为一下随机一段:
Hereisthefile.
Messageisinattach
Seetheattachedfilefordetails.
Payattentionattheattach.
Checkattachedfile.
Checkattachedfilefordetails.
Attachedfiletellseverything.
Attachtellseverything.
Please,readthedocument.
Yourdocumentisattached.
Please,havealookattheattachedfile.
Seeattach.
Moreinfoisinattach
Trythis.
Yourfileisattached.
Readtheattach.
Encrypteddocument
邮件的标题为：
Re:HiSitechangesForumnotify
Re:ProtectedmessageProtectedmessageFaxMessageUpdateChanges..Notification
Re:MessageNotify
Re:IncomingMsg
Re:IncomingMessageIncomingmessage
Re:Document
Re:Textmessage
Re:Thanks:)
Re:Thankyou!
Re:Yahoo!
Re:Re:Hello
Re:Msgreply
附件为病毒本身,命名为一下随机一个:
\XXXhardcoreimages.exe
\WindowsSourcecodeupdate.doc.exe
\WindownLonghornBetaLeak.exe
\WinAmp6New!.exe
\Serials.txt.exe
\Porno,sex,oral,analcool,awesome!!.exe
\Pornopicsarhive,xxx.exe
\PornoScreensaver.scr
\Newpatch.exe
\Newdocument.doc.exe
\MicrosoftWindowsXP,WinXPCrack,workingKeygen.exe
\MicrosoftOfficeXPworkingCrack,Keygen.exe
\MicrosoftOffice2003Crack,Working!.exe
\KasperskyAntivirus5.0.exe
\AheadNero7.exe
10.病毒中带有以下的信息：
假如你想抓住zotob的作者入狱，我可以给你提供相关的信息.
Ifyouwantzotobauthorforacrimeicantellyouhisemail,informationabouthiscountryandetcsoyoucanarresthimeasily。
