該病毒屬郵件蠕蟲類，病毒主要通過傳送含有病毒附屬檔案的郵件傳播，病毒運行後會複製自身到%Windir%下，並會釋放病毒相關檔案到%system%下，而後病毒修改註冊表檔案的啟動項，達到隨系統啟動的目的。
基本介紹
- 中文名：Locksky.u變種
- 外文名：Email-Worm.Win32.Locksky.u
- 病毒類型：郵件蠕蟲
- 危害等級：中
簡介,描述,行為,清除,
簡介
病毒名稱： Email-Worm.Win32.Locksky.u
檔案 MD5： B4A34122E8899A81B28EEC3AF716A5E8
公開範圍： 完全公開
檔案長度： 3,529 位元組
感染系統： windows 98 及以上版本
開發工具： Microsoft Visual C++
加殼類型： FSG 2.0
命名對照： Symentec[無]
Mcafee[無]
描述
病毒通過查找windows的地址簿獲取郵件地址，傳送病毒郵件。病毒還會開啟本地端，嘗試蒐集感染主機的信息，傳送給遠程惡意用戶。該病毒對用戶有一定的危害。
行為
行為分析：
1、複製原病毒體到系統目錄下，並釋放病毒相關檔案：
%system%\msvcrl.dll
%system%\sachostw.exe
%system%\intell32.exe
%system%\sachostc.exe
%system%\sachosts.exe
%system%\attrib.ini
%windows%\sysldr32.exe
%windows%\sachostx.exe
%windows%\uninsIU.exe
%windows%\x8e91e2450.exe.tmp
2、添加註冊表項目：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
健值：字串："HostSrv" = "%Windir%\sachostx.exe"
3、病毒檔案intell32.exe運行後，會在系統列顯示紅色圖示，並彈出提示信息“your computer is infected !”並更改桌面背景。
4、嘗試連線網路，並下載病毒相關檔案到本地運行，蒐集感染主機的相關信息並傳送給惡意者，病毒還會開啟以下連線埠，降低系統安全性：
26027
25947
45812
5、病毒通過查找windows地址簿獲取其中的郵件地址，繼而傳送病毒郵件，其中：
病毒郵件的主題可能為以下之一，隨機選取：
Infected messages
Message subject
病毒郵件的正文可能為：
We regret to inform you that your account has been suspended due to the
violation of our site policy, more info is attached.
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒釋放的檔案：
%system%\msvcrl.dll
%system%\sachostw.exe
%system%\intell32.exe
%system%\sachostc.exe
%system%\sachosts.exe
%system%\attrib.ini
%windows%\sysldr32.exe
%windows%\sachostx.exe
%windows%\uninsIU.exe
%windows%\x8e91e2450.exe.tmp
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
健值：字串："HostSrv" = "%Windir%\sachostx.exe"
