病毒运行后，在Windows文件夹下生成自身拷贝，并命名为winppr32.exe，同时创建注册表键值，以便在系统启动时，病毒能随系统启动而运行。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"TrayX" = %Windows%\winppr32.exe /sinc
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
"TrayX" = %Windows%\winppr32.exe /sinc
（%Windows%为Windows文件夹，通常默认安装的路径为C:\Windows 或 C:\WINNT）
病毒还在Windows目录下生成文件winstt32.dat
另外，与“老板公司”的其他两个变种Worm_Sobig.C和Worm_Sobig.E相类似，病毒在传播时间上给自身做了限制，当系统日期为2003年9月10之后，蠕虫的传播机制将自动失效。
清除该病毒的相关操作：
1、终止病毒进程
在Windows 9x/ME系统，同时按下CTRL+ALT+DELETE
在Windows NT/2000/XP系统中，同时按下CTRL+SHIFT+ESC
选择“任务管理器——〉进程”，选中正在运行的病毒进程，并终止其运行。
2、注册表的恢复
点击“开始——〉运行”，输入regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
，并删除面板右侧的"TrayX" = %Windows%\winppr32.exe /sinc。
再依次双击左侧的
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run ，找到并删除面板右侧的"TrayX"
= %Windows%\winppr32.exe /sinc
3、删除病毒文件
点击“开始——〉查找——〉文件和文件夹”，查找“winppr32.exe”、“winstt32.dat”，并将找到的文件删除。
4、运行杀毒软件对系统进行全面的病毒查杀
目前，国家计算机病毒应急处理中心提醒广大用户升级杀毒软件，启动实时监控功能，留意病毒邮件的特征，收到此类邮件千万不要打开附件，应立即删除。
本周发作：
病毒名称：“埃尔娃”（VBS_ELVA）
病毒类型：脚本类语言病毒
发作日期：8月24日
危害程度：病毒修改Office
2000的安全设置并将IE的安全级别设为“低”，并向地址列表中的用户发送染毒邮件。在该日显示一个对话框，包含以下信息“==Happy birthday== I
love ELVA 4 ever”
病毒名称：LOVE-CHILD.2710
病毒类型：文件型病毒
发作日期：8月24日
危害程度：被病毒感染的文件长度增至2710字节，在24日，病毒破坏部分扇区和FAT（文件分配表）。
病毒名称：“魔爪”（WM_ Talon.B）
病毒类型：宏病毒
发作日期：8月27日
危害程度： 给保存的Word文档设置密码为“talon”，并显示如下信息“Warning Your document Has Just been Been
Saved, I Hope You Know The Password!!!, Brought To You By Talon
1997”（中文意思为：当心你刚刚保存的文档，希望你知道它的密码！）
专家提醒：
1、 8月11日出现的“冲击波”病毒是利用微软的RPC漏洞，利用该漏洞的病毒也会相继出现。所以，再次提醒用户要以下链接下载该漏洞的补丁程序，堵住病毒入口。
http://www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS03-026.htm
2、 及时升级杀毒软件，并启动“实时监控”功能，并做好病毒检测和清除的相关设置。
3、
很多病毒发作后，会破坏一些系统文件，导致在Window环境下无法杀毒，所以制作系统启动应急盘是非常必要的，因为一旦硬盘分区表遭到破坏，只能使用软盘启动，而如果你有应急盘，可使用备份的分区表文件直接恢复，这样挽救数据的可能性会增加很多。目前的杀毒软件都提供此项功能，而且在软件安装过程中会要求用户进行该项操作，此时不能跳过此步骤。
|
