怪物病毒

2002年國慶長假期間，惡性蠕蟲病毒“怪物”在中國首次登入。這個怪物病毒的危害性比較大，也非常“聰明”。主要破壞性表現為：監控電腦用戶的鍵盤動作，並截獲用戶的登錄名和密碼；修改註冊表，電腦用戶開機時病毒被自動啟動；會自動搜尋並殺掉它知道的反病毒軟體的進程；向外界病毒客戶端傳送被感染用戶的機密信息，如用戶名和密碼等等；並且，“怪物”病毒會攻擊印表機，只要它找到印表機或者網路印表機，就會隨機列印二進制代碼。

基本介紹

• 中文名：怪物病毒
• 發生時間：2002年

概述

同時，“怪物”病毒具有極強的傳播能力。它會利用區域網路進行傳播，只要是能找到的資源，都會被“怪物”感染，這些被感染的機器只要一啟動，病毒就會隨之啟動。

怪物病毒

特徵

一、複製自身，釋放“鉤子”

怪物病毒

病毒運行時，會將自身複製到system目錄下，檔案名稱為隨機的4個字母，擴展名為.EXE（如：yyyy.EXE），並釋放出一個動態程式庫檔案，大小為 5632位元組，檔案名稱為隨機的6個字母，擴展名為.DLL（如：zzzzzz.DLL），這個DLL是一個鉤子函式,用來監控鍵盤動作，以截獲用戶的登錄名及密碼。

二、 修改註冊表，開機自啟動

病毒通過查註冊表得到系統的“開始選單”→“程式”→“啟動”的路徑。並複製自己到該目錄下，檔案名稱為隨機的3個字母，擴展名為.EXE。並在註冊表的"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce"中加入自身，保證系統重啟時被自動執行。

三、 啟動4個執行緒，進行全面傳播

病毒運行後會啟動4個執行緒：

1. 執行緒1啟動後，會每隔30秒進行一次“進程遍歷”工作，尋找病毒已知的反病毒軟體的進程，發現後會將之殺掉，使防毒軟體全面失效。以下是病毒可以殺掉的反病毒軟體的進程(106個進程)：

2. 執行緒2啟動後會進行區域網路傳染，遍歷所有的網路資源，找到後病毒會把自己複製到\\\$C\Documents and Settings\\「開始」選單\程式\啟動\siq.exe檔案中，如果區域網路中被感染的計算機重啟的話，病毒便會被激活。

3. 執行緒3啟動後會搜尋硬碟上的地址簿檔案，根據其中地址向外傳送一封利用了MIME和IFRAME漏洞的病毒郵件（這種漏洞郵件不需要雙擊運行，只要預覽該郵件，病毒就會運行），進行Internet傳播。

郵件的附屬檔案是被染毒機器上的某個檔案名稱，

附屬檔案的檔案名稱是雙擴展名，最後一個擴展名是 EXE、SCR 或 PIF，在一般的計算機中，檔案的擴展名是隱藏的，這樣通常用戶只能看到一個擴展名。

4. 執行緒4啟動時，會打開計算機的36794連線埠，並通過SMTP服務向外界病毒客戶端程式傳送用戶的一些機密信息，如用戶名、用戶密碼等。

解決方案

1.由於這個病毒在區域網路中有極強的傳播能力和破壞性，因此，對於區域網路中的用戶，只有安裝網路版反病毒軟體，才可以徹底根治這個病毒。

2.瑞星用戶只需將軟體升級到15.03及以上的版本可以自動截獲並清除此病毒，望廣大用戶及時升級。

變種介紹——怪物病毒II

發作時間：隨機 病毒類型：蠕蟲病毒

怪物病毒

傳播方式：區域網路/郵件

感染對象：系統檔案/網路

依賴系統：WIN9X//NT/2000/XP

病毒介紹：

該病毒於2003年6月6日被瑞星全球反病毒監測網截獲。該病毒集系統、黑客、後門、蠕蟲等多種病毒特性與一身，病毒運行時會釋放三個病毒體到系統目錄，偷取用戶鍵盤信息，監聽連線埠開後門，並且感染檔案，在感染的過程中破壞檔案結構，使一些反病毒軟體無法正常清除。另外該病毒還會感染區域網路中的共享目錄，並通過EMAIL地址向外傳送大量病毒郵件，造成網路癱瘓等嚴重後果。

病毒的發現與清除：

此病毒會有如下特徵，如果用戶發現計算機中有這些特徵，則很有可能中了此病毒：

1. 該病毒由於感染系統目錄，釋放的病毒檔案名稱是隨機的，因此可以查看一下註冊表中的：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run項中是否有可疑的鍵值。

2. 病毒運行時會在本地系統監聽1080連線埠，等待控制台端的連入，形成一個病毒後門。該後門會暴露系統的安全信息，並且可以執行一些簡單的控制命令，可以用一些連線埠監聽工具查看1080連線埠。

3. 病毒會每隔20秒就查找一下記憶體，當發現有下列反病毒軟體或防火牆的程式運行時，就會幹掉這些程式，使它們失效，以下是病毒可以殺掉的進程：

PCFWALLICON.EXE	PCCWIN98.EXE	PAV.EXE	PAVSCHED.EXE	PAVCL.EXE
PADMIN.EXE	OUTPOST.EXE	NVC95.EXE	NUPGRADE.EXE	NORMIST.EXE
NMAIN.EXE	NISUM.EXE	NAVWNT.EXE	NAVW32.EXE	NAVNT.EXE
NAVLU32.EXE	NAVAPW32.EXE	N32SCANW.EXE	MPFTRAY.EXE	MOOLIVE.EXE
LOCKDOWN2000.EXE	LOOKOUT.EXE	LUALL.EXE	JEDI.EXE	IOMON98.EXE
IFACE.EXE	ICSUPPNT.EXE	ICSUPP95.EXE	ICMON.EXE	ICLOADNT.EXE
ICLOAD95.EXE	IBMAVSP.EXE	IBMASN.EXE	IAMSERV.EXE	IAMAPP.EXE
FRW.EXE	APVXDWIN.EXE	FP-WIN.EXE	AUTODOWN.EXE	FPROT.EXE
ANTI-TROJAN.EXE	APVXDWIN.EXE	ACKWIN32.EXE	_AVPM.EXE	_AVPCC.EXE
_AVP32.EXE	……

如果用戶安裝了這些軟體，並無故出錯，則很可能是中了該病毒。

4. 病毒會試圖從後綴後為.mmf,.nch,.mbx,.eml,.tbb,.dbx,.ocs的檔案中搜出mail地址進行郵件傳播，郵件標題可能為：

Payment notices	update	various
hmm	Just a reminder	Correction of errors Announcement
New Contests	Get a FREE gift!	Today Only
My eBay ads	25 merchants and rising	Cows
Your Gift	CALL FOR INFORMATION!	New reading
Sponsors needed	SCAM alert!!!	Warning!
Its easy	free	hipping!
Get 8 FREE issues - no risk!	Tools For Your Online Business	New
onus in your cash account	$150 FREE Bonus!	Your News Alert
Hi!	Daily	mail Reminder

病毒郵件的附屬檔案名可能為：

readme

Setup

Card

Docs

news

image

images

pics

resume

photo

video

music

song

病毒郵件附屬檔案的擴展名可能為：

.reg

.ini

.bat

.diz

.txt

.cpp

.html

.htm

.jpeg

.jpg

.gif

.cpl

.dll

.vxd

.sys

.com

.exe

.bmp

如果用戶收到了有以上內容的信件，則很可能是感染了該病毒。

用戶如果在自己的計算機中發現以上全部或部分現象，則很有可能中了怪物II（Worm.BugBear.B）病毒。

相關報導

“怪物(Bugbear)”病毒急速傳播幾十個國家受感染

紐約2002年10月6日訊息，專家稱一個稱作“怪物（Bugbear）”的由電子郵件運載的電腦病毒，繼續在傳播並且是今年進行著最嚴重攻擊的病毒。該病毒能夠讓黑客操縱受到感染的電腦。

稱作W32.Bugbear或I-Worm.Tanatos的這個蠕蟲感染運行微軟視窗作業系統的電腦。它於一周前被發現並且已經在數十個國家傳播。一旦電腦被感染，黑客能夠從這台電腦上竊取和刪除數據信息。承載該病毒的電子郵件的標題可能是：“壞訊息”、“成員資格確認”、“市場更新報告”和“你的禮物”。

該蠕蟲通過運行微軟視窗作業系統電腦中的電子郵件地址簿進行複製，並且能夠使自己成為電子郵件的附屬檔案。它能夠通過網路系統進行傳播，在網際網路上讓黑客截取密碼並且接入到受感染的電腦。據Symantec Corp.稱，這個病毒還企圖繞過反病毒程式和防火牆。該公司已經在它的網站上發布了一個可供下載使用的防範補丁，還將該“怪物（Bugbear）”定性為是一個嚴重的威脅。

芬蘭赫爾辛基市F-Secure Corp.的反病毒研究經理Mikko Hypponen在給美聯社的電子郵件中說，“怪物”目前對全球電腦安全產生了最嚴重的威脅。F-Secure Corp.在它的網站上也發布了一個修補這一問題的軟體補丁。Hypponen說，預計該蠕蟲的傳播會持續到明年，因為許多消費者將不會意識到他們的電腦受到感染。

微軟2001年曾發布一個該問題的補丁“安全公告MS01-027”，但許多用戶目前並沒有在他們的電腦上安裝上這個補丁。

“怪物”病毒變種：專盜密碼及信用卡資料

據沙特海灣新聞報報導，中東地區最近發現了一種名叫W32“怪物B”的專門盜取密碼及信用卡信息資料的病毒。

這種病毒是由世界著名的反病毒公司於6月5號發現的。當染上這種病毒的用戶在網際網路上進入密碼保護的網頁，如線上銀行或其它電子商務網站，他們的密碼及帳戶信息將被秘密地盜走。

一位分析家稱，“怪物B”上帶有1300多家銀行及金融機構的網址。這說明病毒的發明人是將線上銀行當作它的攻擊對象。這與以前以電子信箱為主要對象的病毒有很大的差別。

RAS信息技術有限公司部經理阿克拉姆稱，許多銀行通過網際網路為客戶提供服務，通過擊鍵輸入密碼，這種病毒發明人就是將金融機構將作攻擊對象，這將給線上用戶帶來很大的安全隱患。他說：“我們建議用咖啡館的電腦上網的用戶在進入銀行時一定要倍加小心，一定先確保這些電腦的反病毒軟體已經經過最新更新。”