聊天病毒：W32.Imaut.CO 分析

聊天病毒：W32.Imaut.CO

根据光华反病毒研究中心专家介绍，W32.Imaut.CO 是一个聊天病毒，感染 Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XP 系统。它通过聊天软件和移动硬盘传播，当收到、打开此病毒时，有以下危害：
    
    A 修改注册表项 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
    Explorer\Advanced\Folder\Hidden\SHOWALL\"CheckedValue" = "0 "
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\
    Explorer\"NofolderOptions" = "1"
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\
    WorkgroupCrawler\Shares\"shared" = "％DriveLetter％\True_Love.exe"
    B 生成文件
    Win目录\True_Love.exe
    Win目录\MsRun32.exe
    系统目录\True_Love.exe
    系统目录\MsRun32.exe
    系统目录\autorun.ini
    系统目录\yahoomsgs.ini
    C 创建注册表项
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\
    "MSN Messengger" = "％System％\MsRun32.exe"
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
    Winlogon\"Shell" = "Explorer.exe MsRun32.exe"
    使得病毒每次开机后自动执行
    D 修改注册表项
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
    Policies\System\"DisableTaskMgr" = "1"
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
    Policies\System\"DisableRegistryTools" = "1"
    禁用任务管理器和注册表编辑器
    E 复制自身到所有盘根目录的 True_love.exe MsRun32.exe autorun.inf
    F 结束含有以下字符的进程
    cmd.exe
    Registry
    System Configuration
    Windows Task
    G 每小时更新病毒自身一次
    H 通过聊天软件发送如下内容：
    Ha ha ha click on link to laugh ... [URL]
    what a joke ...... [URL]
    nice one see this .... [URL]
    what a joke .....click to see [URL]
    what a joke ...... [URL]
    nice to listen .......... [URL]
    what is this ? ......see [URL]
    i am busy you click on a link and see ... [URL]
    what is this ? ...... see [URL]
    
    其中的 [URL]指向 http://tinyurl.com/2n 其中是文件 Santa-Banta-Joke-Flash-2008.zip 含有病毒自身
    
    光华反病毒软件已经对这种病毒进行了处理，请用户升级后，使用光华反病毒软件清除。

www.newjian.com