|
该病毒通过在受感染计算机使用自带的smtp引擎大规模发送邮件进行传播，并将自身拷贝到类似网络中共享的文件夹中当它开始发作时，它会尝试去覆写.exe文件，这些可执行文件通常都是安全类产品，包括诺顿等大家广泛使用的国外厂商产品。
其他名称：w32/zafi.c @mm[mcafee], zafi.c [f-secure], w32/zafi.c.worm [panda], i-worm.zafi.c [kaspersky]-F0@
v.
病毒类型：蠕虫�=.C~9=0
病毒长度：15,993字节�kjs%vOw
受影响系统：windows 2000, windows 95, windows 98, windows me, windows nt, windows server 2003, windows xpB C?:_lX
风险指数：低1'=-c~m-@
破坏指数：中)=j"Rqe
)]i
感染指数：高 El[:-l5
病毒分析：|j&7{Au$+
1，创建如下文件：rH y5qb4
%system%\svchost.comBXoyh
)b
%system%\svchost.con. |p#q �
2,在系统文件夹下创建名为svchost.cox(x为随机数字)CMR-9/0\E^
3，在如下注册表项中：L-(v@?Co
hkey_local_machine\software\microsoft\windows\currentversion\run?sFt ^P)EV
添加如下键值：kjp0laD-4m
"_svchost.con"="%system%\svchost.com"(X_?)Hla
以方便病毒在启动windows时同时自动启动。C/+~3($U*j
4，创建存储病毒信息的注册表条目：kvv)2
0NC
hkey_local_machine\software\microsoft\updatez3lrdEX5/Dr
5，修改如下注册表项： mArd32m.
key_local_machine\system\currentcontrolset\services\sharedaccess\ nL $UWId=P
parameters\firewallpolicy\standardprofileI3=\i"=T2&
的如下键值：5}!7 S;
"disablenotifications" = "1"sEcmc=)
"enablefirewall" = "0"F `
=aOk_
"donotallowexceptions" = "0"_1y=?daN
6，修改如下注册表项：%M3=h'a(i{
hkey_local_machine\software\microsoft\security centery@#g
0 wc#
中的如下键值：qZrk-?`
"antivirusdisablenotify" = "1"h3X/P(0tR
"firewalldisablenotify" = "1"G6 b\K
=
"updatesdisablenotify" = "1"O.LX:[7[M
"antivirusoverride" = "1"v19oz|* %
"firewalloverride" = "1"RMy;Y
7，创建如下日志文件：5-
P39V ^l
c:\tm.txt MoNtu]8e
8，禁止用户运行包含如下字符串的程序：=SGb$z d?t
reged(例如：regedit将无法使用)bDXJ'
msconfig(此为windows配置实用程序)SN}DJ }C*
task(任务管理器：taskmanager将无法使用)x H2h#347Y
9，病毒会搜索计算机内所有文件和文件夹，以查找出所有防/杀病毒程序文件和文件夹：Io/hn;pWc
·当查到安全程序执行文件时，将自身拷贝并覆盖该文件ZvkW
·当查到安全程序所在的文件夹时，将该文件夹及其子目录下所有可执行文件覆盖。H~(\b?T-r*
10，搜索类似网络共享的文件夹，查找从c到h的所有盘符中包含“share”或“upload”或“downlo”字符串的文件夹。~F} zaHe
将自身拷贝到搜索到的文件夹中，有可能是下面的文件名：W92@ y:qW0
·install_aim.exe=.7{(m9Uo
·uninstall.exe !cLEWmb
.Z8[$K!fo [版权归原作者及 中国阀门网共同拥有，转载请注明出处] |
