Worm.Badtrans.a，這是一個通過郵件來傳播的蠕蟲病毒，加殼後大小約13K（展開後在40K左右），同時該病毒還會在用戶機器上安裝木馬程式盜取用戶信息（蠕蟲出釋放另外幾個檔案完成此功能）。
基本介紹
- 中文名：壞透了
- 外文名：Worm.Badtrans.a
- 別名：I-Worm.Badtrans.a[AVP]、W32.Badtrans.gen@mm[NAV]、W32/Badtrans@MM[McAfee]、WORM_BADTRANS.A[Trend]
- 處理時間：2001-04-12
- 威脅級別：★★★
- 病毒類型：蠕蟲
- 影響系統：Win9x / WinNT
病毒行為
1.病毒首次運行後，先釋放兩個病毒檔案到%SystemRoot%下: INETD.EXE（蠕蟲主體）, HKK32.EXE（木馬部分，即Win32.Troj.KeylogHooker.21882）。然後木馬運行，將自身（HKK32.EXE）複製為%System%\KERN32.EXE，並且釋放用於記錄鍵盤的HKSDLL.DLL病毒（Win32.Troj.KeylogHooker.f.5632）和CP_23421.NLS（木馬用於存儲一些其所需內部信息的檔案），然後再將%SystemRoot%下的HKK32.EXE刪掉。釋放出來的木馬來獲取用戶信息，並將其傳送到下面的信箱中：
病毒註冊自己到系統啟動項，以便該病毒在每次重啟 Windows 時運行，具體如下：
在Win9x下：
修改WIN.INI檔案中[windows]節的"Run="項如下：
run=C:\WINDOWS\INETD.EXE
在WinNT下，
在註冊表的主鍵:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
中添加如下鍵值:
"kernel32"="kern32.exe"
在註冊表的主鍵:
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
中添加如下鍵值:
"run"="C:\WINDOWS\INETD.EXE"
此時病毒並不發作，而是顯示一個欺騙性的訊息框。
主題：Re: prefix
附屬檔案即為蠕蟲病毒副本，檔案名稱是下面列表中隨機的一個：
Pics.ZIP.scr
images.pif
README.TXT.pif
New_Napster_Site.DOC.scr
news_doc.scr
hamster.ZIP.scr
YOU_are_FAT!.TXT.pif
searchURL.scr
SETUP.pif
Card.pif
Me_nude.AVI.pif
Sorry_about_yesterday.DOC.pif
