病毒名称:
BAT.WCup.B@mm
类别： 蠕虫
病毒资料：
感染长度：10018字节
危害级别：低
传播速度：慢
受影响系统：Windows 98, Windows Me
不受影响系统：Macintosh, Unix, Linux
病毒危害：
1.发送大量邮件：会向Outlook地址簿中的所有联系人发送邮件；
2.删除文件：会试图删除如下文件："C:Progra~1KASPer~1Avp32.exe", "C:Progra~1Norton~1*.exe", "C:Progra~1Trojan~1Tc.exe", "C:Tbavw95Tbscan.sig", "C:PrograNorton~1S32integ.dll", "C:PrograF-prot95Fpwm32.dll", "C:PrograMcAfeeScan.dat", "C:ProgpaTbavTbav.dat", "C:PrograAvpersonalAntivir.vdf"
3.修改文件：试图修改win.ini及system.ini文件
技术特征：
这是一个脚本蠕虫病毒，会利用Outlook及mIRC进行传播，其邮件格式为：
主题：Korean New Tactics To Defeat Germans（韩国击败德国的战术技巧）
内文：Tactics to win over the Germans!
附件：germany_sUCks.BAT
若用户收到此类信件直接删除，不要打开附件！
病毒会在硬盘的根目录下建立Pro目录，并将自身拷贝至此目录下C:ProKorea.jpg.bat。同时，当用户正与某个IRC通道相连时，它会试图修改mIRC的配置文件来向外发送Korea.jpg.bat 。
此病毒运行后：
1.利用Outlook向外发送邮件；
2.搜索用户机器上是否安装了mIRC，若有则会修改其配置文件用来发送病毒副本Korea.jpg.bat。
3.在当前目录下创建文件：
（1）Cha_du_ri.bat (89 字节）：含有Win.ini文件的部分代码以装载Wini.bat；
（2）Korea_rulez.vbs (127 字节):一个小的脚本文件，用来从Windows目录下运行Korea_rulez.bat；
（3）Koreans_.reg (150 字节）：注册表导入文件，若手动运行后，会在注册表键HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下创建键值sexywormbykoreaofgalaxynetirc#vx (WINDOWS)"germans_suxs.bat
（4）Germany_sucks.bat及Koreans_win_germans.bat (10,018字节):BAT.WCup.B@mm的副本；
4.在Windows目录下创建：
（1）Dd.ini (89 字节): Cha_du_ri.bat的一个副本；
（2）Korea_win_worldcup2002.vbs (134字节): 一个小的脚本文件，用来从Windows目录下运行Korea_worldcup2002.bat
（3）KOREANS_.REG (150 bytes):注册表导入文件的副本。
5.在Windows目录下以如下文件名生成BAT.WCup.B@mm病毒副本：
Germans_suxs.bat
Korea_rulez.bat
Korea_wins.bat
Korea_worldcup2002.bat
Worldcup2002_korea.bat
Start MenuProgramsStartUpKoreans_koreans.bat
SystemWini.bat
6.删除如下文件：
C:Progra~1Kasper~1Avp32.exe
C:Progra~1Norton~1*.exe
C:Progra~1Trojan~1Tc.exe
C:Tbavw95Tbscan.sig
7.删除如下文件，但通常由于路径无效无法删除掉：
C:PrograNorton~1S32integ.dll
C:PrograF-prot95Fpwm32.dll
C:PrograMcafeeScan.dat
C:ProgpaTbavTbav.dat
C:PrograAvpersonalAntivir.vdf
8.最后，它会修改System.ini配置文件本小至几个字节，并在引导程序中插入如下指令：
hel=eXPlorer.exe C:WINDOWSkoreans_win_germans.bat
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
别名：Worm/BWG.F
发现日期：
2002-6-26
|
