Worm.Novarg.ae 类别： 蠕虫病毒
病毒资料： 破坏方法：
蠕虫病毒Worm.Novarg的变种.
病毒行为:
病毒运行后将自己复制到％system％目录下,文件名为:
LSASRV.EXE并在注册表
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\CurrentVersion\Run
中加入自己的键
"lsass"=％system％\Lsasrv.exe
以达到随系统启动的目的.
病毒第一次运行时,将生成一个随机数据的文件,并用notepad打开.以迷惑用户.
病毒随后开始主流程,以实现以下任务
1.修改hosts文件:
病毒将以下网址加入hosts文件中,并使其指向127.0.0.1 以使用中毒后的系统访问不了这些网站.
symantec.com
www.sophos.com
www.mcafee.com
liveupdate.symantecliveupdate.com
www.viruslist.com
viruslist.com
www.f-secure.com
kaspersky-labs.com
www.my-etrust.com
grisoft.com
....
2.p2p共享目录传播
病毒将从注册表中读取一些p2p软件的共享目录,并将自己复制过去.
文件名为:
icq2004-final
activation_crack
K-LiteCodecPack2.34a
dcom_patches
adultpasswds
winxp_patch
Ad-awareref01R349
avpprokey
....
扩展名为:
scr,pif,exe,com
...
3.邮件传播
病毒遍历Local Settings\Temporary Internet Files目录,及在所有硬盘中搜索下以下扩展名的文件：
txt,htmb,phpq,cgiq,wab....并尝试从中提取email地址向其发送病毒邮件.
病毒也将从Software\Microsoft\WAB\WAB4\Wab中读取当前用户使用的通讯簿文件.获取email地址.
4.黑名单
病毒遍历系统进程列表,当发现进程名中带有以下字串的进程时将其结束.
msblast.exe
zapro.exe
navw32.exe
navapw32.exe
zonealarm.exe
outpost.exe
wincfg32.exe
PandaAVEngine.exe
[£R"û¬Õebbs.ikaka.com@®&dot<îâÕq`
