“歡樂時光”,（VBS.Haptime.A@mm）是一個VB源程式病毒，專門感染.htm、.html、.vbs、.asp和.htt檔案。它作為電子郵件的附屬檔案，並利用Outlook Express的性能缺陷把自己傳播出去，利用一個被人們所知的Microsoft Outlook Express的安全漏洞，可以在你沒有運行任何附屬檔案時就運行自己。
基本介紹
- 中文名：歡樂時光
- 外文名：VBS.Haptime.A@mm
- 概述：VB源程式病毒
- 感染對象：感染htm、html、vbs、asp檔案
簡介,症狀,刪除方法,補救措施,
簡介
還利用Outlook Express的信紙功能，使自己複製在信紙的Html模板上，以便傳播。這和“Wscript.KakWorm”病毒很相似，當你發信出去時，“歡樂時光”的源病毒隱藏在HTML檔案上。只要你在Outlook Express上預覽了隱藏有病毒的HTML檔案，甚至你都不用打開它，它就能感染你的電腦。
症狀
當“歡樂時光”發作後：
?它會把自己偽裝成Help.hta,Help.vbs,Help.htm或Untitled.htm檔案。
?它會在註冊表的HKEY_CURRENT_USER\Software\Help\Count上改變鍵值，更新被感染檔案的數量。
?當月份和日期加起來等於13時，源病毒會刪除全部的.exe和.dll檔案。
?每個帶有“歡樂時光”病毒的郵件都會是以下的格式：
Subject:Help
Message:(信體是空的)
Attachment:Untitled.htm(被感染的附屬檔案)
被Email感染的檔案：
.htm,.vbs,.asp或.htt檔案的名字都會儲存在系統註冊表的HKEY_CURRENT_USER\Software\Help\FileName裡面。
?每當366個被感染者時，下面兩件事發生的機會相等：
一個是儲存在收信箱裡的所有信都會被回復以下面的形式：
Subject:Fw:
Message:(信體是空的)
Attachment:Untitled.htm(被感染的附屬檔案)
另一個情況是以下面的形式向默認的所有聯繫人傳送Email:
Subject:Help
Message:(信體是空的)
Attachment:Untitled.htm(被感染的附屬檔案)
?病毒源程式建立一個新的默認壁紙，顯示一個被感染的Help.htm頁面，使病毒可以在啟動時自動運行。為了更好的隱藏自己，它會儘可能的使用一個和被感染之前相同的壁紙。
?源病毒感染在Windows\web資料夾底下的.htt檔案。超文本模板檔案是用來設計和觀看資料夾的內容的。假如你設定以Web方式瀏覽資料夾，那樣你每次瀏覽的資料夾都會被感染。
?病毒會設定一個默認的信紙格式，每次你發信時，它都會連同信體一同傳送到別人的電腦上，通過這樣的複製，不斷的蔓延。要注意的是，假如你的Email程式或者Email伺服器不支持Html格式的信件，Email程式或者Email伺服器會把信件轉換成附屬檔案，傳送給你。假如你打開附屬檔案，也會感染“歡樂時光”病毒。
刪除方法
需要刪除.htt檔案，刪除註冊表里病毒添加的鍵值，重新設定你的OutlookExpress。
?更新防毒程式，確保你有最新的病毒定義。
?打開賽門鐵克防毒（NAV），、運行全系統掃描，確保掃描到所有檔案。
?更改註冊表：點擊開始，點擊運行；輸入“regedit”，點OK，註冊表打開；找到下面，並刪除鍵值：
HKEY_CURRENT_USER\Software\Help\Count
HKEY_CURRENT_USER\Software\Help\FileName
退出註冊表編輯器。
?重新設定微軟的OutlookExpress：打開OutlookExpress；點擊工具，點擊選項；點擊拼寫；在信紙選項，如果你在發信時沒有選擇信紙，就不選擇Mail;否則選擇你想用的信紙。
補救措施
瑞星等各大反病毒公司陸續收到了用戶的一種新病毒疫情反饋，同時，公安部和國家計算機病毒應急處理中心也紛紛發出了該新病毒的疫情預報。這種病毒在用戶那裡造成的最直接反映是發現系統資源不足，後來經過防毒軟體公司的詳細分析，發現這還僅僅是病毒沒有大規模造成破壞的前期症狀，該病毒真正的第一次大規模發作日期應該在5月8日，也就是五一長假後的第一個工作日，它會刪除用戶的部分系統檔案，造成部分應用程式不能運行甚至作業系統不能啟動。也許是巧合，該病毒在傳播郵件的正文中包含HappyTime的字樣，仿佛是病毒製造者那張邪惡的臉在向人們嘲笑，歡樂假期後的第一個工作日，你快樂否？於是，該病毒就順理成章地被大家一致定名為歡樂時光病毒。
目前，針對歡樂時光病毒本身，各大反病毒公司都及時推出了升級版本，同時由於媒體的及時宣傳報導，公眾加大了防犯意識，可以說該病毒還沒有造成大面積的危害。根據瑞星公司網站技術人員的統計，5月8日這一天到瑞星網站升級的用戶比平時多了一倍多，達到了8萬人次。可見全社會的及時宣傳和整體防範意識的是防止惡性病毒大規模爆發的有效措施。
從技術上，歡樂時光病毒並不包含什麼新的東西，它具有蠕蟲特性，與去年五一期間大規模爆發的“愛蟲”病毒一樣，都是通過微軟的郵件客戶端程式Outlook，自動地向地址本中的地址傳送帶毒郵件，這也是目前病毒傳播的最主要的途徑之一。據統一，目前80%以上的病毒都是通過郵件來傳播的。與“愛蟲”不同的是，該病毒的病毒代碼不僅僅包含在郵件附屬檔案中，受害用戶不需要打開並執行病毒郵件附屬檔案，僅僅在預覽帶毒郵件時，嵌入在郵件體中的VBScript代碼已經開始執行，完成了病毒的傳播和感染過程。這也不是什麼新的東西，去年流行的“泡沫小子”等病毒，已經具備了相同的特徵。
不過，據各種情況分析看，歡樂時光病毒應該是國內首次出現的這種類型的病毒。似乎標誌中國的病毒製造者在趕超國際流行趨勢不甘人後的姿態。它結合了蠕蟲特性和在用戶不直接打開情況下直接運行特性，同時能夠感染本地的網頁以及腳本檔案。病毒的蠕蟲特性已經是各大反病毒軟體重點加以防範的地方，經過長期重點宣傳，用戶本身對此的防範也有較強的意識和較多的經驗的，可怕的是它的這種自動執行特徵，用戶在預覽郵件時已經中了病毒的招，被感染的網頁檔案在用瀏覽器察看時也會引起病毒的觸發執行，而對這種情況下可能遭受病毒攻擊的意識，大多數用戶還沒有建立起來。據反映，已經有一些網站已經感染上了歡樂時光病毒，用戶在瀏覽該網站被病毒感染的網頁時，不知不覺病毒已經傳播在他的機器里了。想一想，要是一個訪問量很大的入口網站被該病毒感染了，那么很快就會傳播給成千上萬的訪問者，這種傳播速度，比起通過郵件的傳播，似乎有過之而無不及。
瑞星公司總經理、反病毒專家劉旭在談起該病毒的危害性時說，該病毒在通過郵件地址本向外傳送時由於程式代碼有BUG，並不能正確執行，因此，國外某些反病毒公司將它定為低危病毒，但實際上，如果它的這部分得到了改進，很快就會轉化為“愛蟲”一樣的高危病毒，因此，我們要隨時提防它的變種；而它的通過VBS自動執行的特徵，已經可以被列入高危病毒的範疇。
實際上，歡樂時光危害的根源在於微軟的腳本宿主（MsWindowsScriptHost）。MicrosoftWindows腳本宿主(WSH)是這樣一個工具──它使得用戶可以在Windows作業系統上在本機運行VBScript和JScript。使用用戶所熟知的腳本語言，就可以書寫腳本來使普通任務自動化，並創建功能強大的宏和登錄腳本。這種工具在給很多套用開發帶來便利的同時，確實存在比較嚴重的安全問題，反病毒專家早就警告了基於這種安全問題的病毒攻擊可能性。關於這種安全性問題，微軟也發布了一些補救措施，詳情請參閱微軟網頁，但這些措施對普通用戶來說，顯然還是太過複雜。反病毒軟體公司實際上應該責無旁貸地要承擔為用戶提供一種方便、簡單完善的解決方案的任務，同時，也需要向用戶廣泛宣傳這種威脅存在的可能性，以提高公眾的防範意識。瑞星針對未知腳本病毒差殺的世界領先技術正在研發之中，屆時這一全新的技術將給用戶帶來福音。
