病毒标签

　　病毒名称： Email-Worm.Win32.Kipis.a

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 20,553 字节

　　感染系统： windows 98 及以上版本

　　开发工具： Microsoft Visual C++ 6.0

　　加壳类型： MEW 11 1.2 -> NorthFox/HCC

　　病毒描述

　　该病毒属邮件蠕虫类，病毒主要通过网络共享和发送含有病毒附件的邮件传播。病毒使用windows jpg图标，借以欺骗用户，病毒运行后会复制自身到系统目录下，修改注册表文件，病毒还会扫描本地硬盘，查找共享目录、share目录并复制自身。病毒还会通过扫描windows地址簿、查找某些扩展名的文件，获取其中的email地址，发送病毒邮件。病毒还会终止某些反病毒及安全软件的进程。病毒还会监听本地tcp 1029端口。

　　行为分析

　　1、复制自身到

　　 %Windows%regedit.com

　　 %Windows%Securitysvchost.exe

　　2、修改注册表文件：

　　 HKEY_LOCAL_METHINESoftwareMicrosoftWindows NTCurrentVersionWinlogonshell =

　　 "Explorer.exe %Windows%Securitysvchost.exe"

　　3、病毒还会将自己复制到含有"Share"、"Microsoft Shar"的文件夹下，其中文件名可能为：

　　 Nude Britney Spears.scr

　　 Nude Pic_07.scr

　　 Virtual Girl 2.01.com

　　 KAV Pro 5.xx keygen.com

　　 DrWeb 4.32 keygen.com

　　 WinXP Sp2 key.com

　　4、病毒还会通过邮件传播，病毒通过扫描windows地址簿、查找以下扩展名的文件，获取其中的email地址：

　　 txt、adb、htm、doc、dbx、tbb

　　如果遇到email地址中含有以下字符转，则放弃该地址：

　　 iruslis、latincards、linux、listserv、mailer、moco2k、mozilla、msn、msoe

　　 ...

　　病毒邮件的主题可能为：

　　 i love you

　　 love

　　 happy new year

　　病毒邮件的主体可能为：

　　 § Hello! baby :)

　　 § Server cannot send message.

　　 .......

　　病毒邮件附件名可能为：

　　 dom2.scr

　　 foto_03.scr

　　 foto_05.scr

　　 trax_06.scr

　　 myfoto_04.scr

　　 your present.scr

　　5、终止以下反病毒及安全软件的进程:

　　 guard

　　 kav

　　 kerio

　　 maniac

　　 mcafee

　　 nav

　　 nprotect

　　 outpost

　　 regmon

　　 rfw

　　 rising

　　 safe

　　 skynet

　　 symantec

　　 ......

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。