9月8日病毒

病毒名	Win32.Mydoom.T
别名	I-Worm.MyDoom.r (Kaspersky), W32.Mydoom.R@mm (Symantec), W32/Mydoom.S@mm (F-Secure), Win32/Mydoom.T.Worm, W32/Mydoom.t@MM (McAfee), Win32/Mydoom.U
种类	Win32	类型	蠕虫	传播性	低	破坏性	高	普及度	高
病毒特征	Win32.Mydoom.T是通过邮件传播的蠕虫病毒。病毒是大小为37,888字节的UPX Win32可执行文件，它可能包含在一个压缩文件中。
检测/清除	KILL安全胄甲inoculateIT v23.66.39 vet 11.x/8568 版可检测/清除此病毒。
感染方式	首次运行时，它把自己拷贝到： %System%\tasker.exe 病毒会移动下列注册键值确保每次系统运行时有病毒副本运行： HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Task = "%System%\tasker.exe" 如果失败，病毒可能设法添加相同的注册键值到HKEY_CURRENT_USERS： HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Task = "%System%\tasker.exe" 病毒也会生成下列文件文件： %System%\Nemog.dll 这个文件是大小为8,192字节的后门程序。病毒有下列自己的注册键值： HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InprocServer32\(default) = "%System%\Nemog.dll" 首次执行病毒时，它会生成名为%Temp%\Message的文件并且以记事本形式记录下来。文件包括随机字符。 病毒创建互斥体"EnD-Of-SkyNet"，利用互斥体确保只有一个互斥体在运行。 蠕虫也会创建两个被用作识别最先在循环机器上运行的注册键值： HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
传播方式	通过邮件传播 病毒以邮件附件的形式发送自己，邮件有可变的题目和内容。附件名和扩展名是随机的。发信人地址是'spoofed'。 例如题目包括下列： test；hi；hello；Mail Delivery System；Mail Transaction Failed；Server Report；Status；Error；document；RE:test；RE:my ..... 邮件内容包括下列： test (Norton Anti Virus : No Virusses Found , Check The Attachment For More Information. Check the attachment for more information!. your attachment , thx. here is what you need,thx. the attachment for more information. (Norton ANti Virus,Panda,Mcafee No Virusses Found). you can check the attachment for more information. error to send the mail!!!!!. error, check the attachment for more information. failed,check the attachment for more information. hello :) loooooool ;))) come back my friend. check the attachment to get the lastest news. check. failed to send the email!, check the attachment for more information. Try Later, Check the Attachment. !!!!!!!!!!!, check the attachment!!!. hello. hello check the attachment thx. error , sorry we can't send the email so check the attachment. sorry we can't send the mail try later , check the attachment for more information. Mail transaction failed. Partial message is available.   附件名包括下列： document；readme；doc；text；file；data；test；message；body；Information；Msg；Error 附件的扩展名通常是随机的，附件扩展名包含.bat, .cmd, .pif, .exe和.scr。病毒可以以压缩文件的形式发送自己。在压缩文件中，文件可能由.htm, .txt, 或.doc,两个扩展名。例如："document.txt .pif". Mydoom.T蠕虫通过搜索本地机器上文件来获得发送自己的邮件地址。它搜索的文件有下列扩展名： .htm；.sht；.php；.asp；.dbx；.tbb；.adb；.pl；.wab 它忽略包含下列的邮件地址： accoun；google；certific；listserv；ntivi；support；icrosoft；admin；page；the.bat；gold-certs；ca；feste；submit；not；help；service；privacy；somebody；no；soft；contact；site；rating；bugs；me；you；your；someone；anyone；nothing；nobody；noone；webmaster；postmaster；samples；info；root；mozilla；utgers.ed；tanford.e；pgp；acketst；isc.o；isi.e；kernel；ibm.com；fsf.；gnu；ruslis；nodomai；mydomai；spam；spm 病毒可以根据系统随机生成邮件地址，用户名包含下列： sandra；linda；julie；jimmy；jerry；helen；debby；claudia；brenda；anna；alice；brent；adam；ted；fred；jack；bill；stan；smith；steve；matt；dave；dan；joe；jane；bob；robert；peter；tom；ray；mary；serg；brian；jim；maria；leo；jose；andrew；sam；george；david；kevin；mike；james；michael；alex；john 被病毒感染的邮件样本： 点对点文件共享 Mydoom.T可以找到Kazaa缺省共享目录，如果成功，会阅读注册键值： HKCU\Software\Kazaa\Transfer\DlDir0   病毒拷贝自己到下列文件名的目录中： Fixtool；Vaho；SeX；cleaner；mirc；Wenrar；kazz；Winzip；crack；Upload；Vahos；netsky；mydoom；SoBig；klez；yahoo hacker；Hotmail hacker；ps2 emulator；xbox；emulator；XXX Videos；XXX Pictures；Viraus 每个文件名都有扩展名.bat, .pif, .scr 或 .exe。
危害	后门功能 The Mydoom.T DLL伪装成一个 SOCKS代理，并通过受感染的系统来改变网络传输。实际上，它支持在危险的系统下允许其它程序执行和下载的后门命令。 病毒打开TCP5422端口。如果不能成功的打开TCP5422端口，它尝试打开5423端口，最后它会尝试打开5424端口。 拒绝服务 如果病毒在2004年11月1日2：00：25以后运行，但是在2004年12月1日之前它会尝试执行拒绝访问www.microsoft.com .它会向TCP80端口发送HTTP请求。

(T101)