“小邮差”（Worm_Mimail.A）病毒于8月初出现，该病毒目前在美国、欧洲传播较为迅速，我国用户的也有感染案例，该用户由于打开了病毒邮件，遭受了该病毒的感染。遭受该病毒感染后，病毒对不断向外发送染毒邮件，导致病毒进一步扩散，同时系统内存被大量占用，使得系统运行速度减慢。
该病毒的传播利用了已知的漏洞，相关漏洞查询请参见MS02-15以及MS03-14，并请到以下链接下载升级文件
http://www.microsoft.com/windows/ie/downloads/critical/330994/default.htm
国家计算机病毒应急处理中心提醒广大用户，及时下载安装补丁程序。同时鉴于该病毒具有较强的米活性，请用户留意该病毒的主要特征，，应立即删除。
该病毒的技术报告如下。
病毒名称：“小邮差”（Worm_Mimail.A）
病毒类型：蠕虫
感染系统：Windows 95/98/Me/NT/2000/XP
病毒特性：
该病毒的传播利用了已知的漏洞，病毒同时使用UPX进行压缩。
1、通过电子邮件进行传播
病毒通过自身的SMTP引擎传播，通过电子邮件进行传播时，伪装成管理员发给用户的邮件，并声称该用户所使用的电子邮件地址将要到期，诱骗用户打开邮件附件，从而感染病毒。病毒邮件格式如下：
发信人：admin@%x%（%x%为可变的，经常伪装成邮件用户所在域）
主题：your account %y%（%y%为任意字符）
内容：
Hello there,
I would like to inform you about important information regarding your email
address. This email address will be expiring. Please read attachment for
details.
Best regards,Administrator
%z%（%z%为任意字符）
附件：message.zip
附件message.zip包含一个HTML文件和一个经UPX压缩的Win32可执行文件。当打开HTML时，恶意程序代码就被执行了（利用Internet
Explorer的漏洞），之后.exe文件被执行，该程序为病毒的主体。
除了以下18种类型的文件之外，病毒在被感染用户的计算机上搜索剩余所有类型的文件，寻找可用的电子邮件地址，并向这些地址发送带有病毒的电子邮件。这18种类型的文件包括.avi、.bmp、.cab、.com、.dll、.exe、.gif、.jpg、.mp3、.mpg、.ocx、.pdf、.psd、.rar、.tif、.vxd、.wav和.zip。
2、生成病毒文件
病毒一旦运行，蠕虫在Windows文件夹中生成自身拷贝，并命名为videodrv.exe。（Windows目录通常为C:\Windows或C:\WINNT），另外，病毒同时在Windows目录中生成下列三个文件：
eml.tmp——从本地计算机中搜集的邮件地址列表。
zip.tmp——message.zip的临时文件，病毒发送的邮件时使用的zip附件
exe.tmp——HTML以及经UPX压缩的Win32 exe 文件。
3、修改注册表
病毒对注册表进行修改，使得病毒能够随系统启动而自动运行
HKEY_Local_Machine\Software\Microsoft\Windows\CurrentVersion\Run "VideoDriver"="%Windows%\videodrv.exe"
病毒还创建以下注册表项目
HKEY_Local_Machine\Software>Microsoft>Code Store Database>Distribution Units
{11111111-1111-1111-1111-111111111111}
清除病毒的相关操作
1、删除病毒电子邮件
2、 终止病毒进程
Windows 9x/ME系统，同时按下CTRL+ALT+DELETE键，
Windows NT/2000/XP系统，同时按下CTRL+SHIFT+ESC键，
选中正在运行的病毒进程Videodrv.exe，并终止该进程的运行。
3、对注册表进行恢复
（1）点击“开始—>运行”，输入regedit.exe并回车
（2）依次双击左侧面板中的
HKEY_Local_Machine\Software\Microsoft\Windows\CurrentVersion\Run，在右侧列表中查找并删除以下项目："VideoDriver"="%Windows%\videodrv.exe"
（其中%Windows%为Windows目录，通常为C:\Windows或C:\WINNT）
（3）依次双击左侧面板中的
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Code Store Database>Distribution
Units，在右侧列表中查找并删除以下项目：{11111111-1111-1111-1111-111111111111}
4、删除病毒文件
查找病毒文件eml.tmp、zip.tmp、exe.tmp并删除。
5、使用杀毒软件对计算机进行全面的病毒清除
本周发作：
病毒名称：“禁忌”（W97M_Nono.A）
病毒类型：宏病毒
发作日期：8月10日
危害程度：将应用程序的标题修改为“VicodinES /TNN /CB”，并在活动文档的开始插入“Microsoft Word Loves
{用户名}”14次。
病毒名称：W97m_Class.EM
病毒类型：宏病毒
发作日期：8月14日
危害程度：感染Word的通用模板文件normal.dot，并通过mIRC在互联网上进行传播，14日病毒会弹出对话框“I think <用户名>is a
big stupid jerk.”
病毒名称：“观念”（W97M_Concept.F）
病毒类型：宏病毒
发作日期：8月16日
危害程度：在该日，运行或退出Word的时候会会显示包含以下内容的对话框：“- Parasite Virus 1.0 X Your computer is
infected with the Parasite Virus, version
1.0!”。同时在用户打开的文档中，用“，”替换“。”，用字母e替换字母a，用not替换and.
专家提醒：
1、 尽量不要从软盘和光盘启动计算机，而应优先从硬盘启动，并养成软盘和光盘使用后从驱动器中取出的好习惯。
2、 如出现文件丢失、系统无法正常启动等现象，不要反复启动计算机，以免丢失更多的数据，给系统和数据的恢复造成困难。
3、 若硬盘数据已遭到破坏, 不要急着进行格式化，因为绝大多数病毒不可能在短时间内将硬盘数据全数破坏, 应加以分析, 并进行及时恢复。[文章来源：
国家计算机病毒应急处理中心]
|
