I-Worm/Plexus.c

I-Worm/Plexus.c是用自帶的SMTP引擎群發蠕蟲郵件的網路蠕蟲病毒，通過網路共享和Kazaa檔案共享軟體進行傳播，利用LSASS漏洞和DCOM RPC漏洞通過TCP連線埠135和445進行傳播。

基本介紹

• 外文名：I-Worm/Plexus.c
• 詞語分類：計算機用語
• 病毒長度：16,208位元組
• 病毒類型：網路蠕蟲
• 危害等級：**
• 影響平台：Win9X/2000/XP/NT/Me

傳播過程特徵

1.複製自身：

%Windir%\system32\upu.exe

2.修改註冊表：

添加鍵值

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"NvClipRsv"="<蠕蟲路徑>"

3.在註冊表HKEY_CURRENT_USER\Software\Kazaa\Transfer下搜尋鍵值"DlDir0"，用以發現Kazaa已分享檔案夾。

一旦發現後便複製自身到此目錄，檔案名稱為下列之一：

AVP5.xcrack.exe

hx00def.exe

ICQBomber.exe

InternetOptimizer1.05b.exe

Shrek_2.exe

UnNukeit9xNTICQ04noimageCrk.exe

YahooDBMails.exe

此外還複製自身到網路已分享資料夾下，檔案名稱為：

hx00def.exe

ICQBomber.exe

InternetOptimizer1.05b.exe

Shrek_2.exe

UnNukeit9xNTICQ04noimageCrk.exe

YahooDBMails.exe

4.修改hosts(%Windir%\system32\drivers\etc\hosts )檔案，添加下列內容：

127.0.0.1 downloads-us1.kaspersky-labs.com

127.0.0.1 downloads1.kaspersky-labs.com

127.0.0.1 downloads4.kaspersky-labs.com

127.0.0.1 downloads2.kaspersky-labs.com

127.0.0.1 downloads-eu1.kaspersky-labs.com

5.監聽TCP連線埠1250，一旦建立連線便從遠程計算機接收檔案並保存為%Temp%\_up.exe，然後開始運行接收的檔案。

任意監聽一個連線埠，建立連線後可能傳送蠕蟲到遠程計算機。

6.遍歷從C到Y的所有固定驅動器，並從.htm, .html, .php, .tbb, .txt等類型的檔案中搜尋有效的郵件地址，

對於帶有一些特殊字元串的地址予以放棄，一般和國內外大型信息及安全提供商有關聯。

並利用自帶的SMTP引擎傳送自身到上述地址，郵件特徵：

主題：下列之一

RE: order

For you

Hi, Mike

Good offer.

RE:

附屬檔案：下列之一

SecUNCE.exe

AtlantI.exe

AGen1.03.exe

demo.exe

release.exe

並避免傳送郵件到國內外各大安全信息廠商。

注意事項

%Windir%為變數，一般為C:\Windows 或 C:\Winnt；

%System%為變數，一般為C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000),

或 C:\Windows\System32 (Windows XP)。