病毒标签

　　病毒名称： Email-Worm.Win32.Eyeveg.l

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 79,872 字节

　　感染系统： windows 98 及以上版本

　　开发工具： Microsoft Visual C++ 6.0

　　加壳类型： UPX

　　病毒描述

　　该病毒属邮件蠕虫类，它的传播方式为发送病毒邮件及复制自身到网络共享文件夹。病毒运行后会创建互斥体，使病毒的多个副本不会在同一时间运行。复制自身到%system%下，修改注册表文件，查找某些扩展名文件中的email地址，通过自带的SMTP引擎来发送病毒邮件，达到传播的目的。连接到mel****.biz并下载病毒相关文件到本地运行。病毒还会窃取感染主机的相关信息，监视用户的键盘输入。对用户有一定的危害。

　　行为分析

　　1、创建互斥体："_sjdfzxcrwbhsvb" 使病毒的多个副本不会在同一时间运行。

　　2、复制病毒体，并释放病毒相关文件：

　　%system%fccmugvl.dll

　　%system%nvvojg.exe

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　3、修改注册表文件：

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftRFC1156AgentCurrentVersion

　　ParametersTrapPollTimeMilliSecs

　　键值: DWORD: 15000 (0x3a98)

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunnvvojg

　　键值: 字串: "nvvojg.exe"

　　4、病毒主要通过发送病毒邮件传播：

　　查找以下扩展名的文件，获取其中的email地址：

　　sht

　　asp

　　htm

　　mbx

　　eml

　　tbb

　　dbx

　　当遇到以下字符串的时候将不发送病毒邮件： symantec

　　microsoft

　　mcafee

　　postmaster

　　webmaster

　　alert

　　spam

　　sophos

　　pandasoft

　　report

　　noreply

　　recipients

　　abuse

　　其中，病毒邮件主题可能为： screensaver

　　song

　　music

　　video

　　photo

　　girls

　　pic

　　message

　　image

　　news

　　details

　　resume

　　love

　　readme

　　5、病毒还会窃取用户的敏感信息，如：outlook的密码，该病毒还具有键盘纪录的功能。

　　6、病毒会连接到me*****roll.biz下载一个病毒文件到本地运行。

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。