Email-Worm.Win32.Runouce.b分析

Email-Worm.Win32.Runouce.b分析

病毒标签：
病毒名称： Email-Worm.Win32.Runouce.b
病毒类型： 邮件蠕虫类
文件 MD5： 52707C103393D7DB31263D0A03CAF5DA
公开范围： 完全公开
危害等级： 4
文件长度： 23,493 字节
感染系统： Windows98以上版本
加壳类型： nSPack 2.1 - 2.5

病毒描述：
　　该病毒为蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件，使用bat
批处理删除原文件。 修改注册表，并创建服务项,以达到随机启动的目的。该病毒
会发送大量的病毒邮件，使本机与网络资源被大量占用，甚至会造成死机现象发生。

行为分析：
本地行为：

1、文件运行后会衍生以下文件：

　　　　%DriveLetter%\auto.exe 　　　　　　　　23,493 字节
　　　　%DriveLetter%\autorun.inf 　　　　　　 78 字节
　　　　%Program Files%\NetMeeting\readme.eml 4,882 字节
　　　　%System32%\145E5540.EXE 　　　　　　　 23,493 字节
　　　　%System32%\2B4295C.DLL 　　　　　　　　10,834 字节
　　　　%System32%\delme.bat 　　　　　　　　　291 字节
　　　　%System32%\runouce.exe 　　　　　　　　10,748 字节
　　
2、新建注册表：

　　　　[HKEY_LOCAL_MACHINE\SOFTWARE
　　　　\Microsoft\Windows\CurrentVersion\Run]
　　　　注册表值：" Runonce"
　　　　类型： REG_SZ
　　　　值： " C:\WINDOWS\system32\runouce.exe "
　　　　描述：添加启动项，以达到随机启动的目的

3、创建服务，并以服务的方式达到随机启动的目的：

　　　　服务名称：AEA69184
　　　　显示名称：AEA69184
　　　　描述语言：2B4295C
　　　　文件路径：C:\WINDOWS\system32\145E5540.EXE -k
　　　　启动方式：自动
　　　　
4、将2B4295C.DLL插入到EXPLORER.EXE进程和其它相关进程中。

5、通过信使服务，从本机向工作组其它成员发送消息：

　　　　My god! Some one killed chinexe-Hacker-2 Monitor

6、搜索本地邮件地址，并自动发送大量病毒邮件，使本机计算机资源耗尽，
　 CPU占用率为100%；占用大量网络资源，使网络速度明显变慢。

网络行为：


注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的
位置。
　　
　　　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　\当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32