娇兰广告语:SpamTool.Win32.VB.aqg这个病毒为什么杀不掉！

WINDOWS下的PE病毒(89)

1.Worm.Novarg.an
破坏方法：蠕虫病毒。主要通过
邮件传播。25,835 字节，采用
邮件文件类型的图标。
在邮件中的病毒体是zip
类型的附件，26,385 字节。

病毒的行为如下：

一、把自身复制到Windows目录，命名为“java.exe”。
二、写入注册表启动项
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
\JavaVM = "C:\WINNT\java.exe"

三、释放后门病毒“Backdoor.Zincite.A”，驻留内存监听TCP 1034端口。
实现下载并执行文件的任务。病毒文件名称是“services.exe”，
位于windows目录，8,192 字节。该病毒频繁修改注册表启动项
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
\Services ="C:\WINNT\services.exe"

四、下载“http://www.aoprojecteden.org/site/modules
/articles/modulelogo.png”到本地，保存为
“modulelogo.png”，并立即运行起来。

五、创建“HKEY_LOCAL_MACHINE\Software\Microsoft\Daemon”

关闭如下类型的窗口“IEFrame”、“ATH_Note”、
“rctrl_renwnd32”

六、1。病毒遍历Local Settings\Temporary Internet Files目录,
及在所有硬盘中搜索下以扩展名的文件 txt,htmb,phpq,cgiq,
wab....并尝试从中提取email地址向其发送病毒邮件.
2。病毒也将从Software\Microsoft\WAB\WAB4\Wab中读取当前用
户使用的通讯簿文件.获取email地址.
3。病毒利用搜索引擎，搜寻邮件地址。
http://***search.lycos.com
http://***www.altavista.com
http://***search.yahoo.com
http://***www.google.com

4。病毒排除以下列单词开头的邮件地址
abuse
master
sample
accoun
privacycertific
listserv
submit
ntivi
support
admin
the.bat
gold-certs
feste
rating
someone
anyone
nothing
nobody
noone
winrar
winzip
rarsoft
sf.net
sourceforge
ripe.
arin.
google
gmail
seclist
secur
foo.com
trend
update
uslis
domain
example
sophos
yahoo
spersk
panda
hotmail
msdn.
microsoft

七、关于病毒邮件。
病毒邮件的标题、正文、附件名称都是不固定的。下面是一个病毒
邮件正文样例。附件是file.zip，解压后的文件名是“file.doc .scr”（包含大量空格），具有很强迷惑性。病毒邮件正文写得有鼻子有眼，也是该病毒能够广泛传播得重要因素。

The message was not delivered due to the following reason(s):

Your message was not delivered because the destination
server was not reachable within the allowed queue period.
The amount of time a message is queued before it is returned
depends on local configura-tion parameters.

Most likely there is a network problem that prevented
delivery, but it is also possible that the computer is
turned off, or does not have a mail system running
right now.
Your message could not be delivered within 1 days:
Mail server 113.19.20.123 is not responding.
The following recipients could not receive this message:
Please reply to postmaster@ms2.hinet.net
if you feel this message to be in error.