[原创] Worm.NetSky.B 病毒全程分析 || 中国X黑客小组


	您现在的位置：中国X黑客小组 >> 技术文章 >> 安全防御 >> 病毒分析 >> 文章正文	用户登录新用户注册

[组图][原创] Worm.NetSky.B 病毒全程分析

热荐 ★★★

【字体：小大】

[原创] Worm.NetSky.B 病毒全程分析

作者：奇奇文章来源：CnXHacker.Net 点击数：更新时间：2005-1-23

Worm.NetSky.B 病毒全程分析
作者：Cnxhacker.Net 奇奇
最近似乎很多电子邮件蠕虫病毒，因为看到很多冒名邮件，附件22.0K 是如出一辙，明知是病毒，还是下载一个吧，自己尝试一遍，然后写个“试用手记”给广大菜鸟朋友们！
我的Cnxhacker.Com 和Cnxhacker.Net 邮箱最近可没得清闲，天天几十封几十封的收，哎~~~~~~
现在是一个例子，哈，我就主动运行了！

解压缩后，哈，竟然是这样一个文件：

嗯管他呢运行吧！
呵呵双击有如下提示：
---------------------------
Error
---------------------------
The file could not be opened!
---------------------------
确定

---------------------------
伪装的好像！说是Could not be opened，其实呢？看看系统管理器：

哈哈，看到了吧！已经运行了！看看开机启动项：

Hoho~~~ 是吧，猛一看，没什么，仔细想想，有点异常。
顺藤摸瓜，找到这个路径：
晕！！！这么多啊：

看到了吧，这么多22KB的压缩包，全都是！！还在不停的变化! 差一点漏掉的一个Word图标的文件，其实是EXE，就是开机自启动项的病毒体！

好家伙！它就是大名鼎鼎的NetSky 了！
看看，果然已经连接了很多邮件服务器开始发垃圾了！

经过缜密细致分析，得到如下结论：
受影响系统: 所有Microsoft Windows 系统。

自我复制到Windows安装目录 %Windir%\services.exe；

在注册表主键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中添加如下String键值: "service" = "%Windir%\services.exe -serv"
在注册表主键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 和HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 中删除如下键值："Taskmon" "Explorer"
在注册表主键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中删除如下键值： "KasperskyAV" "System."

删除以下注册表键值：HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32

在%SystemRoot%下创建一个名为40 .zip的文件并作备份，备份的文件名为以下字符串列表中的一些，并搜索含有Share或Sharing 的文件夹一并写入如下备份：
　　　 document、msg、doc、talk、message、creditcard、details、attachment、me、stuff、posting、textfile、concert、information、note、bill、swimmingpool、product、topseller、ps、shower、aboutyou、nomoney、found、story、mails、website、friend、jokes、location、final、release、dinner、ranking、object、mail2、part2、disco、party、misc等

弹出Msgbox
---------------------------
Error
---------------------------
The file could not be opened!
---------------------------
确定
---------------------------

自动查找邮件地址并以自己为附件，使用自带SMTP引擎发送冒名邮件：
主题：hi、hello、read it immediately、something for you、warning、information、stolen、fake、unknown等

正文：anything ok?、what does it mean?、ok、i'm waiting、read the details.、here is the document.、read it immediately! 、my hero、here 、is that true? 、is that your name?、is that your account?、i wait for a reply!、is that from you?、you are a bad writer、I have your password!、something about you!、kill the writer of this document!、i hope it is not true!、your name is wrong、i found this document about you、yes, really?、that is bad、here it is、see you、greetings、stuff about you?、something is going wrong!、information about you、about me、from the chatter、here, the serials、here, the introduction、here, the cheats、that's funny、do you?、reply、take it easy、why?、thats wrong、misc、you earn money、you feel the same、you try to steal、you are bad、something is going wrong、something is fool等

附件名：msg、doc、talk、message、creditcard、details、attachment、me、stuff、posting、textfile、concert、information、note、bill、swimmingpool、product、topseller、ps、shower、aboutyou、nomoney、found、story、mails、website、friend、jokes、location、final、release、dinner、ranking、object、mail2、part2、disco、party、misc等

附件扩展名：txt、rtf、doc、htm、exe、scr、com、pif

邮件头示例：
Received: from [219.154.0.62]; Thu, 4 Nov 2004 18:20:35 +0800
From: deutschland@epicgames.com
To: qiqi@cnxhacker.com
Subject: warning
Date: Thu, 4 Nov 2004 18:18:53 +0800
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="47712714"
发件人地址系伪造

处理办法
如果有杀毒软件请及时更新后全面查杀，如果没有的话建议如下手工查杀步骤：
一、使用进程序管里器结束病毒进程。按Ctrl+Shift+Esc打开任务管理器窗，单击“进程”标签，在找到病毒进程“services.exe”，结束进程；
二、查找并删除病毒程序，打开系统目录 %WinDir%，找到文件“services.exe”并删除（Word图标），如果有一些22KB大小的符合上述列举的文件名的压缩包一并删除；
三、清除病毒的注册表自启动项。运行REGEDIT，找到
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 找到并删除如下String值："service" = "%Windir%\services.exe -serv"。
这样就排除了病毒的危害。

本站原创，转贴请注明来源！论坛欢迎技术交流。
Cnxhacker.Net 奇奇

文章录入：IceRiver 责任编辑：admin

上一篇文章： SHELL病毒简介

下一篇文章：病毒特征与木马特征

【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】

最新热点		最新推荐		相关文章
				打击流氓“净蓝丝带”原创作 C++ 创建快捷方式的最简单方 [原创]我的web＋asp攻击【原创】XX外挂浮点注册算法 [原创]简单算法-韩语小词典2 (原创)利用Htran把内网肉鸡做 wget程序任意文件覆盖/添加 [原创]提交信息关键字过滤类菜鸟编程10大好习惯

　网友评论：（只显示最新5条。评论内容只代表网友观点，与本站立场无关！）


关于我们 - 版权声明 - 帮助(？) - 广告服务 - 联系我们 - 友情链接 - 用户注册 -	Powered by ICE RIVER - STUDIO

» CnXHacker.CoM