I-Worm/Mimail.s

I-Worm/Mimail.s （郵米）是原I-Worm/Mimail的變種病毒，該蠕蟲程式大小是：11520位元組。該蠕蟲通過修改系統註冊表的啟動項來達到自動運行自身的目的，江民防毒軟體首創的註冊表監視功能使得即使不升級查殺病毒資料庫也能監視到該蠕蟲對系統註冊表的修改。病毒傳播的方式是群發電子郵件，還會顯示虛假信息，誘騙用戶的信用卡資料。

基本介紹

• 中文名：I-Worm/Mimail.s
• 外文名：郵米
• 類型：蠕蟲
• 程式：11520位元組

病毒行為

當病毒運行後，將自身複製成%WinDir%\rabbit.exe，%WinDir%\x，然後啟動rabbit.exe

在註冊表啟動項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current Version\Run中添加新項"RabbitWannaHome"="%Windir%\rabbit.exe"，這樣在下次Windows系統啟動時病毒就可以自動運行了。

開啟3個執行緒，分別完成下面的事情：

從硬碟的C:\ 、C:\Program Files\ 、Application Data Folder 、Desktop 、Common Programs Folder 、Startup Folder 、Templates 、Documents 、Favorites目錄遍歷檔案，從中搜尋合法的email地址，並把找到的地址記錄在%WinDir%\outlook.cfg檔案中。為了加快搜尋效率，病毒會直接跳過擴展名為 .com 、.wav 、.cab 、.pdf 、.rar 、.zip 、.tif 、.psd 、.ocx 、.vxd 、.mp3 、.mpg 、.avi 、.dll 、.exe 、.gif 、.jpg 、.bmp的檔案。

向保存在outlook.cfg中的email地址傳送帶毒電子郵件，病毒產生的郵件內容有多達數十處關鍵字語可隨機變換，總共有上萬億種變化的可能。大體意思是說“我偷怕了某某人的一些激情圖片和影片，不要把它給你的某某家裡人看喔……”，下面是一個樣本：

Hello Johanna

I shocked

My dad had wild sex last evening with the boss of Joseph!

And I switched on my digital toshiba camera and create some cool pictures %-)))

And don't show it to your bro, okay?

附屬檔案即使病毒本身，大小11520位元組，名稱中帶有pic、img、phot、photos、pctrs、images、imgs、scene、plp、act、action等字樣，擴展名可能為.pif、.scr、 .exe、 .jpg.scr、 .jpg.pif、 .gif.exe、 .gif.gif、 .gif.scr

每隔2秒通過訪問http://www.google.com來判斷用戶當前是否聯網，如果沒有聯網，病毒將會暫時休眠，不向網上發信傳播。

每隔30秒，生成腳本檔案c:\ms.hta，並運行它。這個腳本顯示Windows過期等虛假信息（見圖1），企圖誘使用戶添寫信用卡帳號和密碼。病毒把騙得的用戶資料保存在c:\xx，定時傳送到3個電子郵件地址。

病毒類型

蠕蟲病毒。