Worm.Mydoom.i

Worm.Mydoom.i駐留記憶體，不同於Worm.Mydoom.h，這個變種沒有安裝後門和DDos攻擊部分，與Worm.Mydoom.A病毒相似。

基本介紹

• 外文名：Worm.Mydoom.i
• 處理時間：2004-04-23
• 威脅級別：★★★
• 病毒類型：蠕蟲
• 影響系統：Windows 95,98,ME,NT，2000和XP

病毒行為

Mydoom

編寫工具

vc

傳染條件

病毒有一個由郵件主題，信體和附屬檔案檔案名稱三部分組成的列表，病毒從列表中選擇郵件各部分組成郵件信息。病毒使用虛假的發信人地址，使人相信病毒郵件是從不同用戶發出來的，而不是受感染用戶。

系統修改

1，通過打開互斥體"SwebSipcSmtxS0,"來判斷病毒是否已經駐留。

2，創建%Temp%Message檔案並用隨機內容填充，並用記事本打開顯示。

3，拷貝自身到%System% askmon.exe.

4，拷貝3個隨機名稱的DLL檔案到%System%目錄

5，添加下列註冊表項

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

"Taskmon" = "%System% askmon.exe "

獲得自動運行資格

6，如果用戶使用了KaZaA(一種p2p工具)，將會拷貝病毒自身到KazaA的download的目錄，名稱為：

icq2004-final

activation_crack

strip-girl-2.0bdcom_patches

rootkitXP

office_crack

nuke2004

winamp5

擴展名為下列隨機名稱：

.exe

.scr

.pif

.cmd

.bat

.com

.zip

7，拷貝一個擴展名為dll的檔案到%System%目錄，這是一個監聽用戶信息的木馬，通過郵件來傳送監聽結果給攻擊者。

8，從擴展名為下列的檔案中搜尋郵件地址：

.adb

.asp

.dbx

.htm

.php

.pl

.sht

.tbb

.txt

.wab

9，拖過自己smtp向搜尋到的郵件地址傳送郵件：

發件人：隨機

標題從下列隨機選取：

test

hi

hello

Mail Delivery System

Mail Transaction Failed

Server Report

Status

Error

內容為：

Mail transaction failed. Partial message is available.

The message contains Unicode characters and has been sent as a binary attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

test

附屬檔案為病毒自身拷貝，名字從下列兩部分組合：

body

data

doc

document

file

message

readme

test

text

擴展名：

.exe

.scr

.pif

.cmd

.bat

.com

.zip

也可能是雙重擴展名

[htm, txt, or doc][spaces].[exe, scr, or pif]

10，試圖結束下列進程：

_AVP32.EXE

_AVPCC.EXE

_AVPM.EXE

ACKWIN32.EXE

ANTI-TROJAN.EXE

APVXDWIN.EXE

AUTODOWN.EXE

AVCONSOL.EXE

AVE32.EXE

AVGCTRL.EXE

AVKSERV.EXE

AVNT.EXE

AVP.EXE

AVP32.EXE

AVPCC.EXE

AVPDOS32.EXE

AVPM.EXE

AVPTC32.EXE

AVPUPD.EXE

AVSCHED32.EXE

AVWIN95.EXE

AVWUPD32.EXE

BLACKD.EXE

BLACKICE.EXE

CFIADMIN.EXE

CFIAUDIT.EXE

CFINET.EXE

CFINET32.EXE

CLAW95.EXE

CLAW95CF.EXE

CLEANER.EXE

CLEANER3.EXE

DVP95.EXE

DVP95_0.EXE

ECENGINE.EXE

ESAFE.EXE

ESPWATCH.EXE

F-AGNT95.EXE

FINDVIRU.EXE

FPROT.EXE

F-PROT.EXE

F-PROT95.EXE

FP-WIN.EXE

FRW.EXE

F-STOPW.EXE

IAMAPP.EXE

IAMSERV.EXE

IBMASN.EXE

IBMAVSP.EXE

ICLOAD95.EXE

ICLOADNT.EXE

ICMON.EXE

ICSUPP95.EXE

ICSUPPNT.EXE

IFACE.EXE

IOMON98.EXE

JEDI.EXE

LOCKDOWN2000.EXE

LOOKOUT.EXE

LUALL.EXE

MOOLIVE.EXE

MPFTRAY.EXE

N32SCANW.EXE

NAVAPW32.EXE

NAVLU32.EXE

NAVNT.EXE

NAVW32.EXE

NAVWNT.EXE

NISUM.EXE

NMAIN.EXE

NORMIST.EXE

NUPGRADE.EXE

NVC95.EXE

OUTPOST.EXE

PADMIN.EXE

PAVCL.EXE

PAVSCHED.EXE

PAVW.EXE

PCCWIN98.EXE

PCFWALLICON.EXE

PERSFW.EXE

RAV7.EXE

RAV7WIN.EXE

RESCUE.EXE

SAFEWEB.EXE

SCAN32.EXE

SCAN95.EXE

SCANPM.EXE

SCRSCAN.EXE

SERV95.EXE

SMC.EXE

SPHINX.EXE

SWEEP95.EXE

TBSCAN.EXE

TCA.EXE

TDS2-98.EXE

TDS2-NT.EXE

VET95.EXE

VETTRAY.EXE

VSCAN40.EXE

VSECOMR.EXE

VSHWIN32.EXE

VSSTAT.EXE

WEBSCANX.EXE

WFINDV32.EXE

ZONEALARM.EXE