病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
蠕虫病毒
病毒长度:
26000
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是一个通过MSN传播蠕虫病毒,它会向MSN联系人发送消息和伪装成照片的带有病毒自身的压缩包，
当对方联系人接收并打开压缩包中的病毒文件时系统被感染。
1.生成文件
%System%\firewallav.dll
%System%\printers.exe
2.创建ShellServiceObjectDelayLoad启动方式：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"antivirus"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"
[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@="firewallav.dll"
注：{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}为一串CLSID，病毒产生的这段CLSID不固定，如：{69AC617E-F9E3-4870-84F5-6279EE7069A5}
3.病毒被运行后在系统目录%Windows%生成包含自身副本的ZIP压缩文件，文件名不固定，由以下字符加随机数字组成：
images0
photos0
album
photo
pictures0
picture
例如:
images030.zip(images030.scr)
photos025.zip(photos025.scr)
4.病毒根据染毒系统的语言给MSN联系人发送相应的文字消息，同时发送病毒ZIP压缩包.
5.在注册表中还创建有以下信息：
[HKEY_CURRENT_USER\Software\Microsoft\vrHMPAfT]
"qnhRjnRH"