病毒标签

　　病毒名称： Email-Worm.Win32.Atak.h

　　病毒类型： 邮件蠕虫

　　危害等级： 中

　　文件长度： 11,625 字节

　　感染系统： windows 98及以上版本

　　开发工具： Visual C++

　　加壳类型： FSG 2.0 -> bart/xt

　　病毒描述

　　该病毒可通过 email ，网络共享资源及 IRC 频道传播。感染后，病毒会复制自身到系统的 " 启动 " 文件夹下，修改注册表项目，通过查找感染主机地址簿中的 email 地址，来发送病毒邮件。病毒还会在受感染的系统内新建一些文件夹并复制原病毒体，病毒名随机选取。病毒还会利用系统的默认共享进行传播。复制自身到每个带有 "share" 字样的文件夹内。

　　行为分析

　　1 、创建互斥体： "2k5" ，避免重复感染系统。

　　2 、修改注册表：

　　HKEY_USERSS-1-5-21-1960408961-413027322-839522115-500SoftwareMicrosoftWindows NTCurrentVersionWindowsrun

　　键值 : 字串 : "%System32%dec25.exe"

　　3 、病毒通过获取系统目录，复制自身到 %system32%dec25.exe

　　4 、修改 win.ini 文件。

　　关键字： "run"

　　值： " % System32%dec25.exe"

　　5 、获得系统所在驱动器，在休眠 8096 毫秒后开始搜索扩展名如下的文件，查找其中的 email 地址，每次循环查找时都会休眠 75 毫秒。

　　asp dbx eml htm txt

　　jsp mht msg php

　　6 、病毒邮件的主题、正文、病毒附件名随机选取：

　　主题如下：

　　Happy New Year! Merry X-Mas!

　　正文如下：

　　Happy New year and wish you good luck on next year!

　　Mery Chrismas & Happy New Year! 2005 will be the beginning!

　　病毒附件名如下：

　　bat com pif scr

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。