Worm.Anig.e

这是一个蠕虫病毒，与此病毒相关的是一个DLL文件ntgina.dll，病毒首先将自身以及当前目录下的DLL文件ntgina.dll复制到系统目录%system%，然后将系统目录中的副本加载到注册表的启动项，并将该副本创建为自启动服务。通过修改注册表，使得在用户登陆系统之前加载DLL文件ntgina.dll，从而盗取用户的登陆密码。病毒还可以通过弱密码攻击远程系统进行主动传播，假如连接远程主机成功，则将自身复制到目标主机的目录：\ADMIN$\SYSTEM32\，然后连接远程主机的注册表并将病毒加载到注册表的启动项。病毒连接ICQ网址的端口5190发送上线通知，然后打开后门端口5190，利用ICQ软件进行远程控制或者传播。

1.将自身复制到%system%目录，并尝试将当前目录下的DLL文件ntgina.dll复制并替换we%system%\ntgina.dll.

2.修改注册表。
将自身在系统目录的副本添加为自启动服务dfcsvc：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dfcsvc
"Type"=dword:00000110
"Start"=dword:00000002
"ErrorControl"=dword:00000000
"ImagePath"="<病毒文件名>/dfcsvc"
"DisplayName"="DistributedFileController"
"DependOnService"=hex(7):52,00,70,00,63,00,53,00,53,00,00,00,00,00
"DependOnGroup"=hex(7):00,00
"ObjectName"="LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dfcsvc\Security
"Security"="<系统相关>"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dfcsvc\Enum
"0"="Root\\LEGACY_DFCSVC\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DFCSVC
"NextInstance"=dword:00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DFCSVC\0000
"Service"="dfcsvc"
"Legacy"=dword:00000001
"ConfigFlags"=dword:00000000
"Class"="LegacyDriver"
"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"
"DeviceDesc"="DistributedFileController"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DFCSVC\0000\Control
"*NewlyCreated*"=dword:00000000
"ActiveService"="dfcsvc"

将自身加载到启动项：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Osa32"="<病毒原始文件名>"

添加与登陆相关的注册表项：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
"Ram32Data"="AMBIILKKEBMCFLLCNBMDICAFNBFCBLFK"
"Ram32ID"="<随机字符串>"
"Ram32Group"="UNK"
"GinaDll"="ntgina.dll"

3.通过修改"GinaDll"注册表键值，使得用户登陆之前加载病毒的DLL文件，假如该文件存在就可以盗取用户的登陆密码。

4.病毒还可以通过弱密码攻击远程系统进行主动传播,假如连接成功，则将自身复制到目标主机的目录：\ADMIN$\SYSTEM32\，然后连接远程主机的注册表并将病毒加载到注册表的启动项。

5.病毒连接ICQ网址的端口5190发送上线通知，然后打开后门端口5190，利用ICQ软件进行远程控制或者传播。