病毒标签

　　病毒名称： Net-Worm.Win32.Vesser.a

　　病毒类型： 网络蠕虫

　　危害等级： 中

　　文件长度： 87,728 字节

　　感染系统： windows 98及以上版本

　　开发工具： Microsoft Visual C++

　　加壳类型： telock

　　病毒描述

　　该病毒属网络蠕虫类，病毒运行后会复制自身到系统目录下，并释放一个.DAT文件，并尝试复制自身到其他硬盘驱动器下及共享文件目录下，病毒还会修改注册表，添加启动项，达到随系统启动的目的，病毒创建两个互斥体"uu33WEEu"、"Y&T。被感染的系统会监听本地TCP：2103 至2233端口，病毒释放的sms.exe尝试访问开启2766端口的其他主机，病毒运行后会终止某些反病毒软件及安全软件的进程，病毒还尝试连接一些IRC服务器。

　　行为分析

　　1、创建两个互斥体"uu33WEEu"、"Y&T"，防止多个副本同时运行。

　　2、修改注册表文件：

　　新建以下键：

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunKernelFaultChk

　　键值: 字串: "C:WINNTSystem32sms.exe"

　　HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_TAPISRV000ControlActiveService

　　键值: 字串: "TapiSrv"

　　HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_RASMAN000DeviceDesc

　　键值: 字串: "Remote Access Connection Manager"

　　删除以下键：

　　HKEY_CLASSES_ROOTCLSID{E6FB5E20-DE35-11CF-9C87-00AA005127ED}InProcServer32

　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun"TaskMon"

　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun"Explorer"

　　3、在某些环境下运行，病毒还会提示一个虚假错误信息，如：

　　Corrupted File

　　Error executing program!

　　4、尝试终止一些反病毒及安全软件的进程:

　　ave32

　　avgw

　　avkserv

　　avnt

　　avp

　　avsched32

　　iface

　　……

　　avgcc32

　　iomon98

　　kfp4gui

　　kfp4ss

　　kpfw32

　　message

　　MS59-56_hotfix

　　avgctrl

　　navapw32

　　navlu32

　　navnt

　　navsched

　　navw

　　NessusScan_pro

　　5、释放病毒相关文件，其中sms.exe为原病毒体，.dat文件变会被锁定，用户无法对其进行打开、复制、移动、删除。

　　%system%perflib_perfdata_***.dat

　　%system%sms.exe

　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

　　--------------------------------------------------------------------------------

　　清除方案

　　1、使用安天木马防线可彻底清除此病毒（推荐）。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。