Worm.Win32.Viking.k

該病毒屬蠕蟲類,病毒圖示為壓縮檔案RAR圖示,以迷惑用戶點擊運行。病毒運行後,將自身複製到系統資料夾%windows%下,檔案名稱為rundll32.exe,釋放病毒檔案,修改註冊表,添加啟動項,以達到隨機啟動的目的,聯接網路,開啟連線埠,下載病毒檔案,病毒嘗試終止相關殺病毒軟體,病毒主要通過已分享資料夾、檔案捆綁、運行被感染病毒的程式、可帶病毒的郵件附屬檔案等方式進行傳播。該病毒對用戶有一定危害。

基本介紹

  • 中文名:Worm.Win32.Viking.k
  • 病毒類型蠕蟲
  • 公開範圍:完全公開
  • 危害等級:中
病毒簡介,病毒描述,行為分析,病毒位置,清除方案,

病毒簡介

病毒名稱: Worm.Win32.Viking.k
病毒類型: 蠕蟲
檔案 MD5: 799D9C7311FE9E559CF5E4C55C7405D2
公開範圍: 完全公開
危害等級: 中
檔案長度: 27,192 位元組
感染系統: windows98以上版本
開發工具: Borland Delphi 5.0
加殼類型: Upack 2.4 - 2.9
命名對照: Symentec[Win32.looked.J]
Mcafee[W32.Gavir.worm]

病毒描述

行為分析

1、病毒圖示為壓縮檔案RAR圖示,用以迷惑用戶點擊運行。
2、病毒運行後,將自身複製到系統資料夾下,並釋放病毒檔案:
%Windir%\rundll32.exe
%Program files%\_desktop.ini
病毒所在目錄\vDll.dll檔案
釋放病毒檔案到系統根目錄下_desktop.ini
3、聯接網路,開啟連線埠,下載病毒檔案:
聯接網路:
TCP:61.152.116.22
連線埠:隨機開啟1024以上連線埠

病毒位置

%Windir%\0sy.exe
%Windir%\1sy.exe
在系統盤的根目錄下下載1.txt
系統盤根目錄\BBWOW\BBMS_DLL.DLL Trojan-PSW.Win32.WOW.db
系統盤根目錄\TODAYNEW\TODAYNEW.DLL
4、修改註冊表,添加啟動項,以達到隨機啟動的目的:
HKEY_CURRENT_USER\Software\Microsoft\Windows NT
\CurrentVersion\Windows
鍵值: 字串: "load "="C:\WINDOWS\rundl132.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ver_down0
值: dsfsfaa[Startup]..AppName=ATISoftwarer=sss
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
鍵值: 字串: "ver_down1"="COM+[7:18:32]: Setup started -
[DATE:05,22,2006 TIME: 07:18 pm]11111"
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\auto
值: "1"
5、病毒嘗試終止相關殺病毒軟體:
net stop "Kingsoft AntiVirus Service"
6、該病毒主要通過已分享資料夾、檔案捆綁、運行被感染病毒的程式、可帶病毒的郵件附屬檔案等方式進行傳播。
註:%Windir%是一個可變路徑。病毒通過查詢作業系統來決定當前windir資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt,windows95/98/me/xp中默認的安裝路徑是C:\Windows
%Program files%是一個可變路徑。病毒通過查詢作業系統來決定當前Program files資料夾的位置。Windows作業系統中默認的安裝路徑是C:\Program Files。
% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32,windows95/98/me中默認的安裝路徑是C:\Windows\System,windowsXP中默認的安裝路徑是C:\Windows\System32。

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案,恢復相關係統設定。
(1) 使用安天木馬防線進程管理”關閉病毒進程
(2) 刪除病毒檔案
系統根目錄\_desktop.ini
系統盤根目錄\1.txt
病毒所在目錄\vDll.dll檔案
%Windir%\rundll32.exe
%Program files%\_desktop.ini
%Windir%\0sy.exe
%Windir%\1sy.exe
(3) 恢復病毒修改的註冊表項目,刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\Windows NT
\CurrentVersion\Windows
鍵值: 字串: "load "="C:\WINDOWS\rundl132.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\DownloadManager\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\ver_down0
值: dsfsfaa[Startup]..AppName=ATISoftwarer=sss
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
鍵值: 字串: "ver_down1"="COM+[7:18:32]: Setup started
- [DATE:05,22,2006 TIME: 07:18 pm]11111"
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\auto
值: "1"

相關詞條

熱門詞條

聯絡我們