I-Worm/Supkp.x

病毒別名

病毒大小：152061位元組，53248位元組，61440位元組，57344位元組

傳播方式：郵件、區域網路共享、感染檔案等

★★★☆

1、病毒運行後，將複製自身到下列檔案：

%System%\tkbellexe.exe, 152061位元組

%System%\update_ob.exe, 152061位元組

%System%\hxdef.exe, 152061位元組

%System%\ravmond.exe, 152061位元組

%System%\iexplore.exe, 152061位元組

%System%\kernel66.dll, 152061位元組

%WinDir%\systra.exe, 152061位元組

2、同時釋放病毒包含的其他3個模組，分別是：

%Systemr%\odbc16.dll, 53248位元組

%System%\msjdbc11.dll, 53248位元組

%System%\mssign30.dll, 53248位元組

%System%\lmmib20.dll, 53248位元組

%System%\netmeeting.exe, 61440位元組

%System%\spollsv.exe, 61440位元組

%WinDir%\svchost.exe, 57344位元組

3、在硬碟根目錄創建自動播放配置程式和病毒自身，這樣在打開硬碟時，病毒就會啟動

c:\command.exe, 152061位元組

c:\autorun.inf, 49位元組

…...

4、在本地創建一個FTP服務程式，連線埠號是隨機數，如5012，可以通過讓病毒通過漏洞傳播。其中生成%SystemDir%\a大小約為56位元組，是FTP的腳本。通過FTP服務，可以傳播hxdef.exe（病毒自身）到包含漏洞的電腦上。

5、搜尋區域網路的共享資源，在已分享檔案夾中釋放病毒本身或壓縮檔形式的複製品。

6、在註冊表中添加多個啟動項，如下：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"WinHelp" = %System%\tkbellexe.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Hardware Profile" = %System%\hxdef.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"VFW Encoder/Decoder Settings" = rundll32.exe mssign30.dll ondll_reg