病毒标签

　　病毒名称： Email-Worm.Win32.Sober.p

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 53,554 字节

　　感染系统： windows 98及以上版本

　　开发工具： Microsoft Visual Basic 5.0 / 6.0

　　加壳类型： UPX

　　病毒描述

　　该病毒属邮件蠕虫类，病毒主要通过发送含有病毒附件的邮件传播。病毒运行后会复制自身到%Windows%Connection WizardStatus下，修改注册表文件，添加启动项。病毒通过搜索被感染系统中某些扩展名的文件来获取其中的邮件地址，发送病毒邮件。病毒还会尝试删除某些文件。

　　行为分析

　　1、修改注册表文件：

　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun

　　键值: 字串:_WinStart = "%Windows%Connection WizardStatusservices.exe"

　　HKEY_LOCAL_METHINESoftwareMicrosoftWindowsCurrentVersionRun

　　键值: 字串:WinStart = "%Windows%Connection WizardStatusservices.exe"

　　HKEY_LOCAL_METHINE SoftwareMicrosoftWindowsCurrentVersionRunOnce

　　键值: 字串:WinStart = "%Windows%Connection WizardStatusservices.exe %1"

　　2、释放病毒相关文件：

　　%Windows%Connection WizardStatuscsrss.exe

　　%Windows%Connection WizardStatussmss.exe

　　%Windows%Connection WizardStatusservices.exe

　　3、病毒主要通过发送含有病毒附件的email来传播，其中：

　　病毒通过搜索被感染主机的以下扩展名的文件来获取其中的email地址：

　　msg

　　jsp

　　oft

　　vbs

　　uin

　　ldb

　　abc

　　pst

　　cfg

　　mdw

　　mbx

　　mdx

　　mda

　　adp

　　nab

　　fdb

　　vap

　　dsp

　　ade

　　sln

　　dsw

　　mde

　　frm

　　bas

　　adr

　　cls

　　ini

　　……

　　当遇到一下字符串时，病毒将不发送邮件：

　　@gmetref

　　sql.

　　som

　　eone

　　nothing

　　you@

　　user@

　　reciver@

　　somebody

　　secure

　　whatever@

　　whoever@

　　anywhere

　　yourname

　　mustermann@

　　……

　　病毒邮件主题可能为：

　　Your Password

　　Registration Confirmation

　　Your email was blocked

　　……

　　病毒附件经过zip压缩，其中zip包中的病毒文件名为：Winzipped-Text_Data.txt .pif

　　4、病毒尝试删除以下文件：

　　a*.exe

　　luc*.exe

　　ls*.exe

　　luu*.exe

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。