Worm.Viking.go

病毒簡介

影響系統：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

1、病毒運行後將自身複製到Windows資料夾下,檔案名稱為:

%SystemRoot%\rundl132.exe

2、運行被感染的檔案後，病毒將病毒體複製到為以下檔案:

%SystemRoot%\logo_1.exe

3、同時病毒會在病毒資料夾下生成:

病毒目錄\dll.dll

4、病毒從Z盤開始向前搜尋所有可用分區中的exe檔案，然後感染所有大小27kb-10mb的執行檔，感染完畢在被感染的資料夾中生成:

_desktop.ini (檔案屬性:系統、隱藏。)

5、病毒會嘗試修改%SysRoot%\system32\drivers\etc\hosts檔案。

6、病毒通過添加如下註冊表項實現病毒開機自動運行:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"load"="C:\\WINNT\\rundl132.exe"

[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]

"load"="C:\\WINNT\\rundl132.exe"

7、病毒運行時嘗試查找窗體名為:"RavMonClass"的程式，查找到窗體後傳送訊息關閉該程式。

8、枚舉以下防毒軟體進程名，查找到後終止其進程:

Ravmon.exe

Eghost.exe

Mailmon.exe

KAVPFW.EXE

IPARMOR.EXE

Ravmond.exe

9、同時病毒嘗試利用以下命令終止相關殺病毒軟體：

net stop "Kingsoft AntiVirus Service"

10、傳送ICMP探測數據"Hello,World"，判斷網路狀態，網路可用時，

枚舉區域網路所有共享主機，並嘗試用弱口令連線\\IPC$、\admin$等已分享資料夾，連線成功後進行網路感染。

11、枚舉系統進程，嘗試將病毒dll(dll.dll)選擇性注入以下進程名對應的進程:

Explorer

Iexplore

找到符合條件的進程後隨機注入以上兩個進程中的其中一個。

12、當外網可用時，被注入的dll檔案嘗試連線以下網站下載並運行相關程式:

http://www.513**.com/ma/0.exe

http://www.513**.com/ma/1.exe

http://www.513**.com/ma/2.exe