Worm.Zhelatin.xv.131584

病毒名稱(中文):

澤尼特變種131584

病毒別名:

威脅級別:

★☆☆☆☆

病毒類型:

蠕蟲病毒

病毒長度:

131584

影響系統:

Win9xWinMeWinNTWin2000WinXPWin2003

病毒行爲:

這是一個通過Email傳播的蠕蟲病毒，病毒運行後衍生病毒文件，修改注冊表，添加啓動項，以達到隨機啓動的目的，該病毒會搜索計算機中的E-mail地址，自動發送郵件，並在郵件附件中添加病毒爲附件。

1.病毒運行後釋放以下文件:

x:\windows\kavir.exe

X:\windows\nivavir.config

其中kavir.exe是病毒自身副本，nivavir.config實際上是配置ini文件，包含連接端口號，郵件主題，發件人等信息,這些信息需要程序解密。

2.運行以下命令：

"netshfirewallsetallowedprogram"C:\WINDOWS\kavir.exe"enable"(防火牆答應程序連接網絡)

"w32tm/config/syncfromflags:manual/manualpeerlist:time.windows.com,time.nist.gov"

(與指定服務器同步系統時間);

"w32tm/config/update"(通知時間服務配置被更改，使更改生效)

3.在注冊表中設置自啓動項

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

"kavir"=X\windows\kavir.exe;

4.病毒開啓本機端口16595，發送用戶名密碼昵稱等交互信息連接黑客制定地址，在這個端口上監聽黑客的指令。

5.病毒搜索計算機中的EMAIL地址，自動向這些地址發送郵件，附件爲病毒自身。爲了欺騙用戶，郵件服務器僞裝爲yahoo.com，gmail.com等，郵件的主題和發件人等信息從nivavir.config中選取。

• ·Win32.TrojDownloader.Hm
• ·Js.Agent.fp.3818
• ·Win32.Gdata.b.4096
• ·Win32.TrojDownloader.Zl
• ·JS.Psyme.vg.5622
• ·Win32.Troj.Inject.pe.54
• ·Win32.PSWTroj.OnlineGam
• ·Win32.Troj.SecretAgent.
• ·Win32.Troj.OnlineGameT.
• ·Win32.TrojDownloader.Sm