Worm.Bugbear-A

特性

複製自身，釋放“鉤子”

病毒運行時，會將自身複製到system目錄下，檔案名稱為隨機的4個字母，擴展名為.EXE（如：yyyy.EXE），並釋放出一個動態程式庫檔案，大小為 5632位元組，檔案名稱為隨機的6個字母，擴展名為.DLL（如：zzzzzz.DLL），這個DLL是一個鉤子函式,用來監控鍵盤動作，以截獲用戶的登錄名及密碼。

修改註冊表，開機自啟動

病毒通過查註冊表得到系統的“開始選單”→“程式”→“啟動”的路徑。並複製自己到該目錄下，檔案名稱為隨機的3個字母，擴展名為.EXE。並在註冊表的"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce"中加入自身，保證系統重啟時被自動執行。

啟動4個執行緒，進行全面傳播

病毒運行後會啟動4個執行緒：

1. 執行緒1啟動後，會每隔30秒進行一次“進程遍歷”工作，尋找病毒已知的反病毒軟體的進程，發現後會將之殺掉，使防毒軟體全面失效。以下是病毒可以殺掉的反病毒軟體的進程(106個進程)：

ZONEALARM.EXE

WFINDV32.EXE

WEBSCANX.EXE

VSSTAT.EXE

VSHWIN32.EXE

VSECOMR.EXE

VSCAN40.EXE

VETTRAY.EXE

VET95.EXE

TDS2-NT.EXE

TDS2-98.EXE

TCA.EXE

TBSCAN.EXE

SWEEP95.EXE

SPHINX.EXE

SMC.EXE

SERV95.EXE

SCRSCAN.EXE

SCANPM.EXE

SCAN95.EXE

SCAN32.EXE

SAFEWEB.EXE

RESCUE.EXE

RAV7WIN.EXE

RAV7.EXE

PERSFW.EXE

PCFWALLICON.EXE

PCCWIN98.EXE

PAVW.EXE

PAVSCHED.EXE

PAVCL.EXE

PADMIN.EXE

OUTPOST.EXE

NVC95.EXE

NUPGRADE.EXE

NORMIST.EXE

NMAIN.EXE

Worm.Bugbear-A

基本介紹

特性

複製自身，釋放“鉤子”

修改註冊表，開機自啟動

啟動4個執行緒，進行全面傳播

攻擊印表機，擾亂正常列印

解決方案

相關詞條

熱門詞條