Worm.Zafi.b

簡介

病毒別名：W32.Erkez.B@mm[NAV], I-Worm.Zafi.b[AVP], PE_ZAFI.B[Trend], W32/Zafi.b@MM[McAfee], Zafi.B[CA], W32/Zafi-B[Sophos]

處理時間：2004-06-10

中文名稱：災飛

病毒類型：蠕蟲病毒

影響系統：Win9x/WinMe/WinNT/Win2000/WinXP/Win2003

1.病毒創建互斥體“_Hazafibb”，避免自身多次運行。

2.拷貝自身到%System%目錄，檔案名稱由八個隨機字母組成，擴展名為.exe或.dll。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\_Hazafibb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

中添加鍵值：

"_Hazafibb"="%system%\<隨機字元>.exe"

以便該病毒在每次重啟 Windows 時運行。

4.病毒搜尋硬碟上共享的網路映射盤，拷貝自身到已分享檔案夾並命名為：

winamp 7.0 full_install.exe 或者 Total Commander 7.0 full_install.exe

5.隨機打開一個web頁面，地址從註冊表以下主鍵中選取：

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs

6.病毒會通過連線下面兩個網址之一來確定用戶是否聯網

7.病毒會向下列網站傳送大量HTTP Get請求，進行拒絕服務(DoS)攻擊

8.病毒阻止用戶運行含有下面字元串的程式：

regedit

msconfig

task

這將直接造成中毒計算機的註冊表管理器，系統配置實用程式，任務管理器等不能使用。

9.病毒搜尋一些知名反病毒產品所在的目錄，然後用自身覆蓋其中的.exe檔案。

10.病毒在擴展名為以下的檔案中搜尋Email地址，存儲到%system%\<8位隨機字元>.dll中：

.htm，.wab，.txt，.dbx，.tbb，.asp，.php，.sht，.adb，.mbx，.eml，.pmr，

不過，搜尋中會跳過包含了以下字元串的Email地址，避免向管理員，大網站和反病毒公司髮帶毒郵件，隱蔽自己：

admi，cafee，google，help，hotm，info，kasper，micro，msn，panda，sopho，suppor，syma，trend，