基本介紹
- 中文名：艾妮
- 外文名：Worm.MyInfect.an
- 別名：麥英
- 類型：蠕蟲
- 處理時間：2007-04-11
- 威脅等級：兩星級
病毒介紹,名稱,類型,處理時間,威脅級別,病毒危害,影響系統,病毒行為,
病毒介紹
名稱
艾妮，別名：麥英 Worm.MyInfect.an
類型
ANI蠕蟲
處理時間
2007-04-11
威脅級別
★★
病毒危害
影響系統
Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行為
這是MyInfect病毒的一個新變種
1:拷貝自己
病毒會把自己拷貝自己到以下目錄中(固定路徑):
C:\\Program Files\\Common Files\\System\\driectdb.exe
C:\\Program Files\\Common Files\\System\\wab32res.exe (Worm.MyInfect.an.5512)
並為driectdb.exe檔案加入了隱藏屬性,檔案時間改為與notepad.exe時間相同.
2:更改註冊表
病毒會在註冊表的自啟動項中添加一項,使自己能隨Windows啟動.
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
EXPLORER = "C:\\Program Files\\Common Files\\System\\wab32res.exe"
嘗試刪除此鍵:
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
internat.exe
3:注入進程
病毒會把自己分別注入到兩個進程中
notepad.exe與iexplorer.exe中,負責感染檔案與下載病毒之用
4:下載檔案
被病毒注入的iexplorer.exe進程會下載http://w1.******.com/baner.gif檔案到
C:\\Program Files\\Common Files\\System\\avp.ini,並能此檔案進行解密,
解密後如下:
[config]
Version=2.0.1
NUM=7
1=http://w1.******.com/images/image1.gif
2=http://w1.******.com/images/image2.gif
3=http://w1.******.com/images/image3.gif
4=http://w1.******.com/images/image4.gif
5=http://w1.******.com/images/image5.gif
6=http://w1.******.com/images/image6.gif
7=http://w1.******.com/images/image7.gif
hos=http://w1.******.com/images/image8.gif
UpdateMe=http://w1.******.com/9g.exe
tongji=http://w1.******.com/love.htm
image1.gif到image7.gif是盜號木馬病毒,它能使用戶的遊戲賬號丟失
hos是host檔案,內容如下:
127.0.0.1 localhost
127.0.0.1 mmm.caifu18.net
127.0.0.1 www.18dmm.com
127.0.0.1 d.qbbd.com
127.0.0.1 www.5117music.com
127.0.0.1 www.union123.com
127.0.0.1 www.wu7x.cn
127.0.0.1 www.54699.com
127.0.0.1 60.169.0.66
127.0.0.1 60.169.1.29
127.0.0.1 www.97725.com
127.0.0.1 down.97725.com
127.0.0.1 ip.315hack.com
127.0.0.1 ip.54liumang.com
127.0.0.1 www.41ip.com
127.0.0.1 xulao.com
127.0.0.1 www.heixiou.com
127.0.0.1 www.9cyy.com
127.0.0.1 www.hunll.com
127.0.0.1 www.down.hunll.com
127.0.0.1 do.77276.com
127.0.0.1 www.baidulink.com
127.0.0.1 adnx.yygou.cn
127.0.0.1 222.73.220.45
127.0.0.1 www.f5game.com
127.0.0.1 www.guazhan.cn
127.0.0.1 wm,103715.com
127.0.0.1 www.my6688.cn
127.0.0.1 i.96981.com
127.0.0.1 d.77276.com
127.0.0.1 www1.cw988.cn
127.0.0.1 cool.47555.com
127.0.0.1 www.asdwc.com
127.0.0.1 55880.cn
127.0.0.1 61.152.169.234
127.0.0.1 cc.wzxqy.com
127.0.0.1 www.54699.com
它能使上面的網站不能訪問
UpdateMe是病毒的自更新檔案,以躲避防毒軟體對病毒的查殺
tongji是病毒作者的統計數量計數器
5:感染檔案
病毒會感染系統中.exe擴展名的檔案,感染方式為疊加感染.
6:生成autorun.ini
病毒會把自己拷貝到移動磁碟的分區根目錄下,
命名為tool.exe,並生成相應的autorun.inf檔案,
通過移動磁碟傳播自己.並嘗試向A盤寫aurorun.inf,
系統會提示用戶把軟體插入A磁碟驅動器里.
