Worm/Pinom

Worm/Pinom是用Delphi語方編寫並經過UPX壓縮的群發郵件蠕蟲。它包含後門程式，可以通過連線IRC伺服器監聽遠程指令。該病毒利用NetBIOS協定通過網路進行傳播，使自己遍布區域網路中沒有設定口令或者弱口令的系統。

基本介紹

• 中文名：Worm/Pinom
• 病毒長度：23,552 Bytes
• 病毒類型：網路蠕蟲
• 危害等級：**

影響平台

Win9X/2000/XP/NT/Me/2003

過程及特徵

1.複製自身為： %System%\Cissi.exe

2.Windows 95/98/Me系統下：

修改系統配置檔案System.ini，使病毒檔案在每次系統啟動後自動運行；

Windows NT/2000/XP/2003系統下：

將病毒檔案載入在系統註冊表中，使其在系統啟動後自動運行，但由於病毒本身代碼存在錯誤，使其無法正常寫入系統註冊表。

3.將自身添加到啟動組中，使病毒檔案自動運行。但由於錯誤此動作無法完成。

4.該病毒在系統中運行後，它會通過下列途徑進行傳播：

/後門：

該蠕蟲會設法創建一個執行緒，加入IRC服務預定的頻道irc.undernet。org。蠕蟲會利用隨機產生的暱稱連線伺服器，並試圖連線6667連線埠，連線成功後將等待來自伺服器的指令。

/網路共享：

該蠕蟲會搜尋可以被感染的計算機，利用NetBIOS的135，139和445連線埠連線任意的IP位址，然後，先不用口令嘗試登錄，如果失敗，它會利用Guest ，Administrator，Owner，Root用戶名，以及自帶的口令列表進行測試，設法登錄到該系統，並複製病毒檔案。

/電子郵件：

蠕蟲會從下列類型檔案中搜尋郵件地址，並存貯在系統目錄下的Cissi.dll檔案中：

.htt .rtf .doc .xls .ini .mdb .txt .htm .html

.wab .pst .fdb .cfg .ldb .eml .abc

.ldif .nab .adp .mdw .mda .mde .ade .sln .dsw

.dsp .vap .php .asp .shtml

然後，查找系統默認的DNS伺服器地址，獲取郵件伺服器的IP位址，蠕蟲將利用這個IP位址傳送病毒郵件進行傳播。

郵件的主題以及內容是隨機的，附屬檔案為下列之一：

LovePoem.pif

Poem_collection.pif

Zipped_poems.exe

My Poems.txt.exe

Poems.pif

Sad Stories and Poems.pif

My Story.pif

The Poems.pif

Poems for you.pif

Only Poems.txt.pif