VBS.DNAOrder3.aa.16846

2008-08-14 22:59:22  編輯來源:互聯網  简体版  手機版  評論  字體: 小|中|大

 

 

　　病毒名稱(中文):

　　系統殺軟大殺器16846

　　病毒別名:

　　

　　

　　威脅級別:

　　★★☆☆☆

　　病毒類型:

　　網頁病毒

　　病毒長度:

　　16845

　　影響系統:

　　Win9xWinMeWinNTWin2000WinXPWin2003

　　

　　病毒行爲:

　　這是一個腳本病毒程序，通過局域網共享和網頁傳播，對系統進行監視並造成破壞：禁用顯示隱藏文件、禁用瑞星卡卡,任務治理器、注冊編輯器、系統配置治理程序、系統修複工程師、實完美卸載V2007等軟件。

　　此病毒具有自動更新的功能，假如發現系統中已有的版本比當前病毒版本低，則會刪除原來的文件，更新到當前的病毒版本。

　　1.複制文件：

　　%windir%\{HCQ9D-TVCWX-X9QRG-J4B2Y-GR2TT-CM3HY-26VYW-6JRYC-X66GX-JVY2D}.vbs

　　%system32dir%\{HCQ9D-TVCWX-X9QRG-J4B2Y-GR2TT-CM3HY-26VYW-6JRYC-X66GX-JVY2D}.vbs

　　%windir%\OK.ini

　　另外，還在所有磁盤分區的根目錄下創建病毒文件和autorun.inf文件，指向該病毒文件，並設置産生的所有這些文件的屬性爲系統隱藏文件。

　　2.注冊表的改動：

　　添加：

　　[HKEY_CURRENT_USER\SoftWare\Microsoft\WindowsNT\CurrentVersion\Windows\Load]

　　指向%system32dir%\{HCQ9D-TVCWX-X9QRG-J4B2Y-GR2TT-CM3HY-26VYW-6JRYC-X66GX-JVY2D}.vbs

　　添加到系統啓動項，隨系統開機啓動。

　　修改：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command\]

　　使其指向%SystemRoot%\System32\WScript.exe，並添加病毒文件完整路徑到參數中。

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue]REG_DWORD0

　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden]REG_DWORD0

　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun]REG_DWORD129

　　[HKEY_CURRENT_USER\Software\Microsoft\WindowsScriptingHost\Settings\Timeout]REG_DWORD0

　　設置腳本執行的超時時間爲無窮大。

　　3.破壞方式

　　病毒會以兩種方式運行：

　　假如爲html等格式中嵌入的腳本，則只執行侵入系統的一些操作；

　　假如爲vbs腳本直接運行，則會感染系統文件等更多的破壞操作。

　　1)降低系統安全級別

　　設置腳本執行的超時時間爲無窮大；

　　病毒運行後，禁用了資源治理器的「顯示隱藏文件」等選項；

　　另外，病毒還打開驅動器的自動運行選項。

　　2)修改文本文件的打開方式爲WScript.exe打開，同時添加參數指向病毒文件，雙擊打開文本文件時會執行病毒程序。

　　3)添加到所有磁盤根目錄下，並添加autorun.inf文件，雙擊打開驅動器則會運行病毒程序。

　　4)感染文件

　　主要感染兩類文件。

　　對于"hta","htm","html","asp"，"vbs"，"mpg","rmvb","avi","rm"等格式的文件進行感染。

　　5)禁用安全軟件

　　腳本會搜索系統中是否存在以下進程：

　　"ras.exe","360tray.exe","taskmgr.exe","regedit.exe","msconfig.exe","SREng.exe","USBAntiVir.exe"，

　　假如有這些進程，則關閉之，並重新對系統進行感染。

　　6)其他

　　腳本具有版本控制，假如發現系統中已有的版本比當前病毒版本低，則會刪除原來的文件，更新到當前的病毒版本。

 

 

 

 

 

 

 

 

 

 

 

 

病毒名稱(中文): 系統殺軟大殺器16846 病毒別名: 威脅級別: ★★☆☆☆ 病毒類型: 網頁病毒 病毒長度: 16845 影響系統: Win9xWinMeWinNTWin2000WinXPWin2003 病毒行爲: 這是一個腳本病毒程序，通過局域網共享和網頁傳播，對系統進行監視並造成破壞：禁用顯示隱藏文件、禁用瑞星卡卡,任務治理器、注冊編輯器、系統配置治理程序、系統修複工程師、實完美卸載V2007等軟件。 此病毒具有自動更新的功能，假如發現系統中已有的版本比當前病毒版本低，則會刪除原來的文件，更新到當前的病毒版本。 1.複制文件： %windir%\{HCQ9D-TVCWX-X9QRG-J4B2Y-GR2TT-CM3HY-26VYW-6JRYC-X66GX-JVY2D}.vbs %system32dir%\{HCQ9D-TVCWX-X9QRG-J4B2Y-GR2TT-CM3HY-26VYW-6JRYC-X66GX-JVY2D}.vbs %windir%\OK.ini 另外，還在所有磁盤分區的根目錄下創建病毒文件和autorun.inf文件，指向該病毒文件，並設置産生的所有這些文件的屬性爲系統隱藏文件。 2.注冊表的改動： 添加： [HKEY_CURRENT_USER\SoftWare\Microsoft\WindowsNT\CurrentVersion\Windows\Load] 指向%system32dir%\{HCQ9D-TVCWX-X9QRG-J4B2Y-GR2TT-CM3HY-26VYW-6JRYC-X66GX-JVY2D}.vbs 添加到系統啓動項，隨系統開機啓動。 修改： [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command\] 使其指向%SystemRoot%\System32\WScript.exe，並添加病毒文件完整路徑到參數中。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue]REG_DWORD0 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden]REG_DWORD0 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun]REG_DWORD129 [HKEY_CURRENT_USER\Software\Microsoft\WindowsScriptingHost\Settings\Timeout]REG_DWORD0 設置腳本執行的超時時間爲無窮大。 3.破壞方式 病毒會以兩種方式運行： 假如爲html等格式中嵌入的腳本，則只執行侵入系統的一些操作； 假如爲vbs腳本直接運行，則會感染系統文件等更多的破壞操作。 1)降低系統安全級別 設置腳本執行的超時時間爲無窮大； 病毒運行後，禁用了資源治理器的「顯示隱藏文件」等選項； 另外，病毒還打開驅動器的自動運行選項。 2)修改文本文件的打開方式爲WScript.exe打開，同時添加參數指向病毒文件，雙擊打開文本文件時會執行病毒程序。 3)添加到所有磁盤根目錄下，並添加autorun.inf文件，雙擊打開驅動器則會運行病毒程序。 4)感染文件 主要感染兩類文件。 對于"hta","htm","html","asp"，"vbs"，"mpg","rmvb","avi","rm"等格式的文件進行感染。 5)禁用安全軟件 腳本會搜索系統中是否存在以下進程： "ras.exe","360tray.exe","taskmgr.exe","regedit.exe","msconfig.exe","SREng.exe","USBAntiVir.exe"， 假如有這些進程，則關閉之，並重新對系統進行感染。 6)其他 腳本具有版本控制，假如發現系統中已有的版本比當前病毒版本低，則會刪除原來的文件，更新到當前的病毒版本。

 

 

 

　　免責聲明：本文僅代表作者個人觀點，與王朝網路無關。王朝網路登載此文出於傳遞更多信息之目的，並不意味著贊同其觀點或證實其描述，其原創性以及文中陳述文字和內容未經本站證實，對本文以及其中全部或者部分內容、文字的真實性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，並請自行核實相關內容。