3月16日热门病毒信息公告及解决办法

据金山毒霸反病毒实验室介绍，今日提醒用户注意以下病毒：
　　"恶邮差变种U"，蠕虫病毒，主要利用邮件传播，还可能利用局域网共享来传播。会开启http服务，留下危险级极高的后门。入侵系统后，病毒使用随机的文件名来隐藏自己，还会释放“QQ小尾巴恶邮差版”，极难手工清除。以下是该病毒的详情：
　　病毒信息：
　　病毒名称: Worm.Supnot.u
　　中文名称: 恶邮差变种U
　　威胁级别: 3A
　　病毒别名: 爱情后门变种V [瑞星]
　　病毒类型: 蠕虫
　　受影响系统: Win9x/WinNT/Win2000/WinXP

　　技术特点：
　　· 系统修改：
A、自我复制到
%SYSDIR%/IEXPLORE.EXE
%SYSDIR%/kernel66.dll
%SYSDIR%/RAVMOND.exe
%SYSDIR%/SysBoot.EXE
%SYSDIR%/WinDriver.exe
%SYSDIR%/winexe.exe
%SYSDIR%/WinGate.exe
%SYSDIR%/WinHelp.exe
%DRIVER%/SysBoot.exe

B、病毒将释放一个DLL文件，此文件将在系统中殖入远程后门代码
%SYSDIR%/reg678.dll
%SYSDIR%/Task688.dll
病毒将释放一个利用QQ发送消息传播的病毒：“Worm.LovGate.v.QQ”，相关文件名目录为：
%SYSDIR%internet.exe
%SYSDIR%svch0st.exe

C、添加以下键值
HKEY_CLASSES_ROOT/exefile/shell/open/command
(默认) : %SYSDIR%/WINEXE.EXE "%1" %*

HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Currentversion/Run
"WinGate initialize" = "%SYSDIR%/WINGATE.EXE -REMOTESHELL"

HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Currentversion/Run
"WinHelp" = "%SYSDIR%/WINHELP.EXE"

HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Currentversion/Run
"Remote Procedure Call Locator" = "RUNDLL32.EXE REG678.DLL ONDLL_REG"

HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Currentversion/Run
"Program In Windows" = "%SYSDIR%/IEXPLORE.EXE"

HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/Currentversion/RunServices
"SystemTra" = "%WINDIR%/SYSTRA.EXE /SYSTRA:KERNEL32.DLL"

在win9x下还修改系统文件：
WIN.INI
[WINDOWS]
"RUN" = "RAVMOND.EXE"
在win2k、NT、XP下注册服务：
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/ll_reg
Display Name = "ll_reg "
IMAGEPATH ＝ "RUNDLL32.EXE TASK688.DLL ONDLL_SERVER"

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Windows Management Instrumentation Driver Extension
Display Name = "Windows Management Instrumentation Driver Extension"
IMAGEPATH = "%SYSTEM%/WINDRIVER.EXE -START_SERVER"

病毒也将在每一个硬盘和可移动盘的根目录下建立一个文件：AUTORUN.INF的文件，内容为：
[AUTORUN]
Open="%DRIVER%:/SysBoot.EXE" /StartExplorer

其中%DRIVER%为相应的驱动器。
这样在用户打开该驱动器后将运行病毒

D、病毒变相感染可执行文件
病毒可能会将EXE文件改名为ZMX文件，并设置属性为“隐藏”和“系统”，如：病毒搜索到一个名为“Winword.exe”的文件，会将其改名“Winword.zmx”并设置属性“隐藏”和“系统”，然后释放一个名为“Winword.exe”的病毒复本。
这个功能的条件是：病毒运行后，每隔一小时会检查系统中是否有“网络映射驱动器”和“可移动驱器”，如果有，侧会进行上述变向的文件感染。

E、Windows弱口令密码试探攻击、放出后门程序、盗取密码

F、病毒利用mapi及搜出的email地址，对收信箱里的邮件进行回复（传播）。
邮件标题随机从病毒体内选出
当病毒被运行后每隔一定时间发送一次通知邮件给
位于163.com的一个信箱,邮件内容为中毒系统的ip地址，以便利用病毒的后门进行控制

解决方案:
　　· 请使用金山毒霸2004年03月15日的病毒库可完全处理该病毒；
　　· 请不要轻易点击陌生人的邮件以及下载和运行其所带附件，在运行可疑附件前最好先用毒霸扫描；为您的系统设置更为强装的管理员密码，推荐使用数字加字母个数不少于8个的组合；
　　· 可以登陆http://www.duba.net/download/3/28.shtml免费下载恶邮差专杀工具进行查杀
　　· 该病毒不易手工清除，会造成清除不干净的现象，请升级毒霸到2004年3月15日的病毒库可处理该病毒。如没有安装金山毒霸，可以登录http://online.kingsoft.net使用金山毒霸在线杀毒或是金山毒霸下载版来防止该病毒的入侵.