I-Worm/Supkp.ac是一種網路蠕蟲病毒，用VC++編寫經ASPack壓縮的群發郵件蠕蟲病毒，傳送自身到所有的郵件地址，利用DCOM RPC漏洞進行傳播。
基本介紹
基本信息,傳播過程,
基本信息
I-Worm/Supkp.ac
病毒長度：143,360 位元組
病毒類型：網路蠕蟲
危害等級：**
影響平台：Win9X/2000/XP/NT/Me
傳播過程
1.複製自身為：
%Windir%\SYSTRA.EXE
%System%\hxdef.exe
%System%\IEXPLORE.EXE
%System%\RAVMOND.exe
%System%\realsched.exe
%System%\vptray.exe
%System%\kernel66.dll
2.創建檔案：
%System%\ODBC16.dll --- 53,248 位元組
%System%\msjdbc11.dll --- 53,248 位元組
%System%\MSSIGN30.DLL --- 53,248 位元組
%System%\LMMIB20.DLL --- 53,248 位元組
%Windir%\suchost.exe --- 49,152 位元組
%System%\NetMeeting.exe --- 61,440 位元組
3.NetMeeting.exe檔案運行有如下操作：
/複製自身為%System%\spollsv.exe
/修改註冊表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Shell Extension" = "%system%\spollsv.exe"
/可能在系統目錄下生成檔案：results.txt ，win2k.txt ，winxp.txt
4.在所有驅動器的根目錄下(除光碟機外)生成檔案AUTORUN.INF，並複製自身為COMMAND.EXE。
5.修改註冊表：
在註冊表啟動項下添加鍵值
[HKEY_CLASSES_ROOT\txtfile\shell\open\command]
"(Default)"="vptray.exe %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command]
"(Default)"="vptray.exe %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WinHelp"="%system%\realsched.exe"
"Hardware Profile"="%system%\hxdef.exe"
"Program In Windows"="%system%\IEXPLORE.EXE"
"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
"VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
"Protected Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\runServices]
"SystemTra"="%Windor%\SysTra.EXE"
"COM++ System"="suchost.exe"
生成子鍵
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1]
6.Windows 95.98/Me系統下，修改Win.ini檔案
[windows]欄位 run=%System%\RAVMOND.exe
Windows NT/2000/XP系統下，修改註冊表，添加鍵值：
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"run"="RAVMOND.exe"
KV KAV Duba NAV kill RavMon.exe Rfw.exe Gate McAfee Symantec SkyNet rising
8.任意選擇連線埠開後門，收集感染計算機的系統信息並保存為檔案C:\Netlog.txt，蠕蟲會將此信息傳送給攻擊者。
9.複製自身到網路已分享資料夾及其子資料夾，檔案名稱如下：
WinRAR.exe
Internet Explorer.bat
Documents and Settings.txt.exe
Microsoft Office.exe
Windows Media Player.zip.exe
Support Tools.exe
WindowsUpdate.pif
Cain.pif
MSDN.ZIP.pif
autoexec.bat
findpass.exe
client.exe
i386.exe
winhlp32.exe
xcopy.exe
mmc.exe
10.試圖用內置的密碼庫以管理員的身份登入區域網路里的所有計算機，一旦成功便複製自身並啟動服務( "Windows Management NetWork Service Extensions.")。
\\<目標計算機名>\admin$\system32\NetManager.exe
11.可以通過OutLook和自身內置的SMTP程式傳送帶毒郵件。通過OutLook傳送的郵件是直接回復信箱中已有的信件，欺騙性較高。通過自帶的SMTP程式發現郵件的附屬檔案名可能是：
the hardcore game-.pif
Sex in Office.rm.scr
Deutsch BloodPatch!.exe
s3msong.MP3.pif
Me_nude.AVI.pif
How to Crack all gamez.exe
Macromedia Flash.scr
SETUP.EXE
Shakira.zip.exe
dreamweaver MX (crack).exe
StarWars2 - CloneAttack.rm.scr
Industry Giant II.exe
DSL Modem Uncapper.rar.exe
joke.pif
Britney spears nude.exe.txt.exe
I am For u.doc.exe
12.創建網路已分享檔案夾： %Windir%\Media
13.遍歷從C到Y所有硬碟下的下列類型檔案：
.htm .sht .php .asp .dbx .tbb .adb .wab
14.通過用suchost.exe覆蓋原檔案或者附加原始的蠕蟲檔案來感染.exe檔案。
