Worm.Mydoom.ao

该病毒通过电子邮件和P2P软件进行传播。邮件伪装成银行或朋友的信件诱使用户打开。该病毒运行后将自己伪装成QQ2005、winrar，或Winamp等常用软件，放入P2P软件共享目录中，以诱使用户运行。并且会在感染机器上寻找电子邮件地址，以将病毒发送给其他用户。该病毒还会释放一个木马（Win32.Troj.BankoBao.a），该木马会窃取用户的银行帐号密码。窃取的帐号包括：网上支付、建设银行、农业银行、招商银行、工商银行、淘宝网等，并通过电子邮件进行发给病毒的制作者。

病毒运行后会打开一个含乱码的文件：

1、病毒生成如下文件：
"%System%\rplsvr.exe"（病毒自身）
"%System%\systems.exe"（Win32.Troj.BankoBao.a木马用户用于窃取银行帐号）

2、在注册表中添加如下键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"RplSvr"="%System%\rplsvr.exe"
"Systems"="%System%\Systems.exe"
使得病毒在计算机在启动时运行。

3、创建如下互斥量，以保证只有一个进行运行：
webloverenlan

4、复制自身到Kazaa的共享目录中，病毒文件么可能为以下之一：
qq2005
hacker_crack
AccesXP
X-girl-6.0bmy-web2.0
winrar-3.6
SPVCD2005-final
winamp6

5、从注册表
HKEY_Current_User\Software\Microsoft\WAB\WAB4\WabFileName
中搜索电子邮件地址

6、过滤含有以下字符的电子邮件：
mozilla
utgers.ed
tanford.e
pgp
acketst
secur
isc.o
isi.e
ripe.
arin.
sendmail
rfc-ed
ietf
iana
usenet
fido
linux
kernel
google
ibm.com
fsf.
gnu
mit.e
bsd
math
unix
berkeley
foo.
.mil
gov.
.gov
ruslis
nodomai
mydomai
example
inpris
borlan
sopho
panda
hotmail
msn.
icrosof
syma
avp

7、通过mail.taikang.com邮件服务器，向搜索到的邮件发送病毒邮件
发信人可能为以下之一：
sandra
linda
julie
jimmy
jerry
helen
debby
claudia
brenda
anna
alice
brent
adam
ted
fred
jack
bill
stan
smith
steve
matt
dave
dan
joe
jane
bob
robert
peter
tom
ray
mary
serg
brian
jim
maria
leo
jose
andrew
sam
george
david
kevin
mike
james
michael
alex
john
.edu
abuse
www
fcnz
spm
accoun
certific
listserv
ntivi
support
icrosoft
admin
page
the.bat
gold-certs
ca
feste
submit
not
help
service
privacy
somebody
no
soft
contact
site
rating
bugs
me
you
your
someone
anyone
nothing
nobody
noone
webmaster
postmaster
samples
info
root

邮件主题可能为以下之一：
lookforaboutyou
GiveMyLoveagin
BankReportOfYou
Goodideardoyouknow
pleasekissme
loveonlysayofyou
DoyouloveMyphoto
MyDearlovetoyou

邮件体可能为以下之一：
Sheistheappleofmyeye.
Dontcountyourchickensbeforetheyhatch.
Happinessisapersonalchoice!
Dontworry,behappy.
Sweetheart,Iloveyoumorethanicansay!
Iloveyou.Beacuseonlyyou,ican"tsay
Dearmylovepleasegiveakiss.lovedon"tonlySay.
Iloveyoumorethanthestarsabove.
附件名可能为以下之一：
Dearlove
youremail
datmdb
woai
gril
movie
photo
loveyou
附件扩展名可能为以下之一：
bat
cmd
exe
scr
pif