Win32.Lovgate.H

Lovgate.H是一種通過電子郵件以及網路共享傳播的蠕蟲病毒。蠕蟲對Windows 9x的作業系統不起作用。

基本介紹

• 中文名：Win32.Lovgate.H
• 外文名：W32.HLLW.Lovgate.G@mm
• 病毒屬性：蠕蟲病毒
• 危害性：危害性：

簡介

病毒名稱：Win32.Lovgate.H

其它名稱：W32.HLLW.Lovgate.G@mm

病毒屬性：蠕蟲病毒

危害性：中等危害

流行程度：中

運行

運行時，蠕蟲以下面這些檔案名稱拷貝自己的副本到系統目錄下：

RAVMOND.EXE

WINHELP.EXE

WINGATE.EXE

IEXPLORE.EXE

WINDRIVER.EXE

WINRPC.EXE

KERNEL66.DLL （隱藏檔案）

蠕蟲檔案的大小為107,008位元組。

蠕蟲會以"winrpc.exe %1"替換原來註冊表中HKCR\txtfile\shell\open\command下的鍵值，以便用戶一打開文本檔案蠕蟲就被自動調用。

蠕蟲還修改下面2個註冊表鍵值，以便Windows一啟動蠕蟲就自動運行：

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows,

"Programs"="com exe bat pif cmd"

"run" = "RAVMOND.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,

"WinHelp" = "C:\WINNT\System32\WinHelp.exe"

"WinGate initialize" = "C:\WINNT\System32\WinGate.exe -remoteshell"

"Remote Procedure Call Locator" = "RUNDLL32.EXE reg678.dll ondll_reg"

"Program In Windows" = "C:\WINNT\System32\IEXPLORE.EXE"

Lovgate.H 可以將自身註冊為一個服務：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Management Instrumentation Driver Extension

"ImagePath" = "%SYSTEM\WinDriver.exe - start_server"

兩種方式

蠕蟲通過郵件傳播，但有兩種不同的方式。第一種是使用MAPI來回復用戶收件夾中的郵件，這些看起來像正式的回覆郵件，都引用原文，並有下列這些特徵：（[ ]符號中的是可變的）

主題：

Re: [original subject]

正文：

'[recipient name]' wrote:

====

>

[Original message (each line prefixed with">")]

====

> Get your FREE [recipient domain] account now! <

蠕蟲只引用原文的前512位元組內容，如果原始郵件的內容多於512位元組，那其他將以。。。。表示。

附屬檔案：名稱隨機

第2種方式則是蠕蟲直接使用SMTP伺服器傳送帶毒郵件。蠕蟲會搜尋"我的文檔"中的所有.htm檔案，找出目標郵件地址。

蠕蟲利用ipc進行guest和Administrator賬號的多個簡單密碼試探。如果成功，蠕蟲會以NetServices.exe為檔案名稱拷貝自己到遠程計算機的系統目錄下，並創建一個服務"Microsoft NetWork FireWall Services"。蠕蟲還會生成一個自己的副本檔案，而檔案名稱則是下面中的一個：

"MSN Password Hacker and Stealer.exe"

"SIMS FullDownloader.zip.exe"

"Winrar + crack.exe"

。。。。。。。

"The world of lovers.txt.exe"

"autoexec.bat"

"Are you looking for Love.doc.exe"

蠕蟲會把自身的木馬功能部分解壓縮到一個DLL庫檔案中，以便以此木馬以一個單獨程式來運行。下面這4個DLL檔案的大小都為81,920位元組：

reg678.dll

Task688.dll

111.dll

ily668.dll.

蠕蟲會監聽TCP連線埠20168。而木馬的DLL庫檔案會在下面這兩個地方註冊為一個服務：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ll_reg,

"ImagePath" = "RUNDLL32.EXE Task688.dll ondll_reg"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetMeeting Remote Desktop (RPC) Sharing,

"ImagePath" = "RUNDLL32.EXE Task688.dll ondll_reg"

蠕蟲可以通過在註冊表的Run下添加鍵值，調用木馬DLL庫檔案，從而可以創建/開始/刪除下面這兩個服務："Remote Procedure Call Locator" 、"NetMeeting Remote Desktop (RPC) Sharing"，蠕蟲還會將自己注入到lsass進程中。

蠕蟲運行後，每隔一段時間就傳送郵件給位於163.com的一個信箱。郵件的內容為中毒電腦的ip地址，而不名身份的使用者就會利用木馬程式進行控制。