基本介紹
- 中文名：求職信
- 外文名：Worm_Klez
- 發現時間：2002/01/17
- 長度：80kb
- 病毒類型：電子郵件蠕蟲病毒
- 操作平台：Windows 32位操作平台
- 傳播途徑：電子郵件、區域網路
- 別名： W32.Klez.E@mm, I-Worm/Klez.E
- 編寫語言：彙編語言、VC++
病毒機理,攻擊原理,病毒構成,運行過程,病毒特徵,傳播方式,中毒症狀,病毒變種,病毒應對,病毒檢測,病毒預防,病毒清除,
病毒機理
攻擊原理
“求職信”病毒會利用MS Outlook或Outlook Express的漏洞，當用戶打開或預覽帶毒的電子郵件時，病毒就會自動運行。
“求職信”病毒
“求職信”病毒該病毒感染Windows NT/2000系統計算機，即把自己註冊為系統服務進程，反病毒軟體很難清除。它還不停地向外傳送郵件，偽裝成（Htm、Doc、Jpg、Bmp、Xls、Cpp、Html、Mpg、Mpeg）類型檔案中的一種，檔案名稱也是隨機產生的。
當計算機時間為每年單月13日時，該病毒將會自動搜尋硬碟，用記憶體中的隨機數據覆蓋硬碟上的所有檔案。
病毒構成
“求職信”病毒基本分為兩部分：一部分是狹義上的病毒，它感染PE結構檔案，病毒大小約為3K，用彙編語言編寫；第二部分是蠕蟲大小為56K，它在運行中會釋放並運行一個11722位元組的帶毒的PE檔案。第二部分是用VC++編寫的，它只可以在WINDOWS9X或WINDOWS2000上運行，在NT4上無法運行。
運行過程
病毒部分
一、解密後面的代碼長度258H位元組
二、然後病毒在記憶體中查找KERNEL32模組，並根據名字的檢驗字找到一大批函式入口，這些函式供後面的代碼調用。
三、申請記憶體，將所有代碼拷貝到申請的記憶體
中，並轉申請的記憶體執行。
四、查檢有無調試程式（調IsDebugPresent函式），如在調試程式下運行，終止病毒代碼，返回到原宿主程式（如果是配套的木馬，則返回到作業系統）。
五、啟動感染代碼，如未在調試程式下運行，在SYSTEM（由GetSystemDirectory）目錄感染或建立WQK.EXE(WIN9X下)或WQK.DLL(NT下)。
六、將當前進程註冊為服務進程。
七、創建感染執行緒，根據系統時間，如果為13號且為3月或9月，感染所有硬碟或網路盤檔案。否則感染系統目錄。某些條件下創始的感染執行緒會啟動另一個感染執行緒，直到系統崩潰。
八、如果是NT作業系統，同時感染所有網路鄰居。
九、返回宿主或作業系統。
木馬部分
一、解碼所有字元串。
二、改變當前進程訪問許可權。
三、啟動執行緒1，執行緒1的作用如下：
檢查當前所有進程，如果有以下進程（部分匹配），則終止這些進程：
_AVP32,_AVPCC,_AVPPM,ALERTSVC,AMON
AVP32,AVPCC,AVPM,N32SCANW,NAVAPSVC,
NAVAPW32,NAVLU32,NAVRUNR,NAVW32,NAVWNT,
NDD32,NPSSVC,NRESQ32,NSCHED32,NSCHEDNT,
NSPLUGIN,SCAN,SMSS
如果是WINDOWS9X系統，將當前程式設為自啟動（Software\Microsoft\Windows\CurrentVersion\Run）執行緒永不終止。
檢查當前所有進程，如果有以下進程（部分匹配），則終止這些進程：
_AVP32,_AVPCC,_AVPPM,ALERTSVC,AMON
AVP32,AVPCC,AVPM,N32SCANW,NAVAPSVC,
NAVAPW32,NAVLU32,NAVRUNR,NAVW32,NAVWNT,
NDD32,NPSSVC,NRESQ32,NSCHED32,NSCHEDNT,
NSPLUGIN,SCAN,SMSS
如果是WINDOWS9X系統，將當前程式設為自啟動（Software\Microsoft\Windows\CurrentVersion\Run）執行緒永不終止。
四、啟動執行緒2，作用是複製自己，運行後刪除，然後執行緒終止。
五、在系統目錄中創建KRNL32.EXE，如果是9X，運行它，並將它放入Software\Microsoft\Windows\CurrentVersion\Run中自動運行。如果是2000系統，將它作為Service啟動。
六、創建執行緒3，傳送EMAIL。
創建執行緒4，感染網路所有已分享檔案，每8小時搜尋一次。
創建執行緒5，搜尋磁碟檔案。
創建執行緒6，檢查當前日期是否為奇數月的13號，如是，將所有檔案複製一次，執行緒5小時運行一次，永不退出。
創建執行緒4，感染網路所有已分享檔案，每8小時搜尋一次。
創建執行緒5，搜尋磁碟檔案。
創建執行緒6，檢查當前日期是否為奇數月的13號，如是，將所有檔案複製一次，執行緒5小時運行一次，永不退出。
病毒特徵
隱蔽性
不會感染作業系統保護的檔案，以防止系統提示用戶。打開進程通過（explorer）進程進行感染，導致其它進程運行錯誤。病毒利用檔案系統進行感染，此病毒創建名為（WQK）的命名記憶體映象，並將病毒體置於其中，用於進程感染。
該病毒的英文標題通常是以下幾種情況：
Hi
Hello
Howareyou?
Canyouhelpme?
Wewantpeace.
Wherewillyougo?
Congratulations!!!
Don'tcry.
Lookatthepretty.
Someadviceonyourshortcoming.
FreeXXXPictures.
Afreehotpornsite.
Whydon'treplytome?
Howabouthavedinnerwithmetogether?
Hello
Howareyou?
Canyouhelpme?
Wewantpeace.
Wherewillyougo?
Congratulations!!!
Don'tcry.
Lookatthepretty.
Someadviceonyourshortcoming.
FreeXXXPictures.
Afreehotpornsite.
Whydon'treplytome?
Howabouthavedinnerwithmetogether?
信的正文為：
I'msorrytodoso,butit'shelplesstosaysorry.
Iwantagoodjob,Imustsupportmyparents.
Nowyouhaveseenmytechnicalcapabilities.
Howmuchmyyear-salarynow?NOmorethan$5,500.
Whatdoyouthinkofthisfact?..Don'tcallmynames,Ihavenohostility.
Canyouhelpme?
I'msorrytodoso,butit'shelplesstosaysorry.
Iwantagoodjob,Imustsupportmyparents.
Nowyouhaveseenmytechnicalcapabilities.
Howmuchmyyear-salarynow?NOmorethan$5,500.
Whatdoyouthinkofthisfact?..Don'tcallmynames,Ihavenohostility.
Canyouhelpme?
該病毒中文版的郵件標題包括以下幾種：
“我喜歡你！”、“您好”、“恭喜！”、“節日快樂”、“你中獎了”、“你的朋友”、“同學聚會”、“祝你生日快樂”、“你的朋友給你寄來的賀卡”等。
郵件正文包括以下幾種：
“just for my father !”、“我是程式設計師”，“我需要一份工作！”、“我需要一份工作！”、“我喜歡你！”、“你的朋友”、“同學聚會”、“我要逃離大學”等。
破壞性
傳播方式
第一種：通過INTERNET郵件，它搜尋當前用戶的地址簿檔案中的類郵件地址的文本內容，或隨機計算郵件地址，通過WINDOWS的SOCKET函式集用SMTP伺服器傳送自己這個帶毒木馬，郵件檔案是由木馬部分形成，並且該郵件會在OUTLOOKEXPRESS下自動執行，它的主題是隨機的。
第二種：通過網路鄰居，它搜尋所有的網路連線，查找已分享資料夾，將自己的檔案放到享目錄中，並試圖讓遠程計算機將它作為一個服務啟動。通過區域網路傳播帶毒檔案一般都是雙重後綴名。
第三種：通過磁碟傳播，它創建專門的執行緒感染磁碟，如果當前日期奇數月的13號，將找到的檔案內容進行複製。
第四種：病毒感染。
中毒症狀
感染“求職信”病毒後，機器速度變慢，系統資源明顯減少，硬碟可用空間急劇減少。
因為病毒占用大量的系統資源，會使得計算機變慢，經常出現“沒有足夠記憶體運行......程式……”錯誤提示 。還可能將一些檔案大小置零（相當於刪除檔案不可恢復）或者用病毒碼覆蓋檔案，而縣被破壞的檔案不可恢復。
病毒變種
WORM_KLEZ.G
求職信病毒變種該變種病毒不同於以往病毒攻擊方式，以往病毒是通過e-mail傳播並且執行e-mail附屬檔案才會感染，該變種病毒攻擊手法惡劣，用戶只要預覽此病毒信件，不執行任何附加檔案，就已經受到病毒感染。用戶一旦中毒，病毒便會大量寄發郵件給通訊簿中的人，造成伺服器的負荷。
Worm.Klez.L
Worm.Klez.L是種蠕蟲病毒，病毒體內包含大量加密字元串。由於此病毒能提升自身的運行級別，使得一般程式無法結束或訪問它的進程，包括Windows自帶的任務管理器。因此無法手工清除此病毒。
Worm.Klez.L的最大特點在於其抑制防毒軟體的能力大為提高，甚至包括一些著名病毒（它的早期版本），只要是阻礙Worm.Klez.L傳播的軟體它都不放過。它通過註冊表和記憶體兩方面破壞這些軟體。
病毒應對
病毒檢測
windows系統
在系統目錄下檢查是否包含wqk.exe和Krn132.exe兩個檔案，如有則可判定感染病毒。
運行Regedit，展開HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\，檢查其中是否包含WINDOWS\SYSTEM\KRN132.EXE和WINDOWS\SYSTEM\WQK.EXE，有則可判定感染病毒。
病毒預防
切斷網路，禁止網路共享或給網路已分享資料夾加上口令。
