MSN小尾巴完全清楚方案

　　当W32.Funner(这是人家诺顿老大的命名)病毒执行的时候，它会这样做～：

　　1，拷贝自身为如下文件：

　　%System%\IEXPLORE.EXE
　　%System%\EXPLORE.EXE
　　%Windir%\rundll32.exe
　　%System%\userinit32.exe
　　c:\funny.exe

　　并且执行列表里的前三个文件

　　注意：

　　·这三个文件会确保另外它们始终运行，换句话说，当其中两个被终止的时候，另外一个会将它们重新启动。

　　·这些文件需要MSVBVM60.DLL文件，它是Microsoft Visual Basic 运行时环境组件。

　　·%System%是系统文件夹的变量参数，默认情况下，它是：
　　C:\Windows\System(Windows 95/98/Me)
　　C:\Windows\System32(Windows NT/2000/XP)

　　·%Windir%是Windows安装文件夹变量参数，默认情况下，它是：
　　C:\Windows或C:\Winnt

　　2，创建日志文件，命名为%System%bsfirst2.log(病毒也做日志？寒……)

　　3，在下列注册表分支中：

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

　　加入键值

　　"Userinit"="userinit32.exe,"

　　当启动Windows的时候，将自动运行userinit32.exe(够贼的……NT系统的注册表同样分支里有这样的一个键值，只是名字是userinit32.exe)

　　4，在下列注册表分支中：

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
　　HKEY_LOCAL_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　加入键值

　　"MMSystem"="%Windir%\rundll32.exe "%System%\mmsystem.dll"", RunDll32"

　　当启动Windows时，自动运行rundll32.exe

　　5，会在SYSTEM.ini文件的[boot]部分添加如下行：

　　Shell=%system%\explorer.exe

　　6，在Windows Messenger即时通信程序中发送c:\funny.exe文件给联系人

　　7，会连接到www.78p.com域并下载病毒组件。

　　8，将如下列表中的条目添加到Hosts文件并指向一个外部IP地址(来，大家跟我一起数……)：

222.89.98.219 www.wo365.com
222.89.98.219 cmfu.com
222.89.98.219 www.cmfu.com
222.89.98.219 9i0.com
222.89.98.219 www.9flash.com
222.89.98.219 9flash.com
222.89.98.219 www.nowok.net
222.89.98.219 nowok.net
222.89.98.219 wisa.com.cn
222.89.98.219 www.sia.com.cn
222.89.98.219 www.wisa.cn
222.89.98.219 wisa.cn
222.89.98.219 www.zhao99.com
222.89.98.219 zhao99.com
222.89.98.219 www.wo123.com
222.89.98.219 wo123.com
222.89.98.219 wo99.com
222.89.98.219 www.wo99.com
222.89.98.219 www.page.com.cn
222.89.98.219 page.com.cn
222.89.98.219 www.432.cn
222.89.98.219 432.cn
222.89.98.219 wysw.com
222.89.98.219 14.com.cn
222.89.98.219 www.14.com.cn
222.89.98.219 cnww.net

发给好友

我要报错

投稿给我们

加入收藏

返回顶部