Worm.Sober.k

该病毒是一个蠕虫病毒,通过疯狂的发送带毒电子邮件传播,导致用户网络变慢,影响用户正常工作.,

1.该病毒在被感染的系统中创建以下文件:

%SystemRoot%\msagent\win32\smss.exe
%SystemRoot%\msagent\win32\winlogon.exe
%SystemRoot%\msagent\win32\csrss.exe

2.添加键值

"winsystem.sys"="%SystemRoot%\msagent\win32\smss.exe"
到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

因此该病毒能随计算机启动而运行.

添加键值

"_winsystem.sys"="%SystemRoot%\msagent\win32\smss.exe"
到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

3.在临时文件夹下创建一个名1.txt的文件并打开,文件内容为以下:

Text#674326
-----------
---------------------%WinZipCodeTextModul%ismissing------------------
an4Msmyaoq5PwFuQLJtl075owaVGwlJd0zSDZZPF3hcYNE3TmcMDYMzb6dM0ndslxIsDWJOiTbN9
Ta7cF8UDSF9rkk3TNIeVwxPGpGma5hgmNEnBNIMsBwLHBBsd0jRN0zBFU4LAkGbZDO5ByG/C0zTN
ci/JPk107O3Dy0z4ABRAn6PNG+zck8uzzarNgBSbB8zKaZZNt9MD4T7Lm6vLZpCmzen7CcwVa5bN
ILIvzUxyVzkZk6aQnFet0G7TnD210G/wJj7O2zRN03QDU7bI1NkM5jaD8gfPbwMc0zQD0iEvRlIg
...

4.在系统中创建以下文件:

%SystemRoot%\msagent\win32\zipedso1.ber
%SystemRoot%\msagent\win32\zipedso2.ber
%SystemRoot%\msagent\win32\zipedso3.ber
%SystemRoot%\msagent\win32\datamx1.dat
%SystemRoot%\msagent\win32\datamx2.dat
%SystemRoot%\msagent\win32\datamx3.dat
%SystemRoot%\msagent\win32\GoTo1.dat
%SystemRoot%\msagent\win32\GoTo2.dat
%SystemRoot%\msagent\win32\GoTo3.dat
%SystemRoot%\msagent\win32\runnowso.ber
%SystemRoot%\msagent\win32\[randomletters].ano
%SystemRoot%\System32\nonrunso.ber
%SystemRoot%\System32\stopruns.zhz
%SystemRoot%\System32\read.me

5.假如当前网络处于断线状态,则病毒会尝试拨号

6.显示一个假造的信息,大致内容如下:

Winsock2.0Error
STOP:0x10020AF{Unknown_blocking}
PossibleReason:Your"Firewall"isblockingoneormoreSystemfiles
Checkthe"WinsockErrorLogFile"on:C:\WinsockError_log.txt

7.创建假造的log文件WinsockError_log.txt

8.从以下扩展名文件中搜索Email地址:
.abc
.abd
.abx
.adb
.ade
.adp
.adr
.asp
.bak
.bas
.cfg
.cgi
.cls
.cms
.csv
.ctl
.dbx
.dhtm
.doc
.dsp
.dsw
.eml
.fdb
.frm
.hlp
.imb
.imh
.imh
.imm
.inbox
.ini
.jsp
.ldb
.ldif
.log
.mbx
.mda
.mdb
.mde
.mdw
.mdx
.mht
.mmf
.msg
.nab
.nch
.nfo
.nsf
.nws
.ods
.oft
.php
.phtm
.pl
.pmr
.pp
.ppt
.pst
.rtf
.shtml
.slk
.sln
.stm
.tbb
.txt
.uin
.vap
.vbs
.vcf
.wab
.wsh
.xhtml
.xls
.xml

9.该病毒会辟免把病毒邮件发送到包含以下字符串的邮箱中.
.dial.
.kundenserver.
.ppp.
.qmail@
.sul.t-
@arin
@avp
@ca.
@example.
@foo.
@from.
@gmetref
@iana
@ikarus.
@kaspers
@messagelab
@nai.
@panda
@smtp.
@sophos
@www
abuse
announce
antivir
anyone
anywhere
bellcore.
bitdefender
clock
detection
domain.
emsisoft
ewido.
free-av
freeav
ftp.
gold-certs
google
host.
iana-
iana@
icrosoft.
info@
ipt.aol
law2
linux
mailer-daemon
mozilla
mustermann@
nlpmail01.
noreply
nothing
ntp.
ntp-
ntp@
reciver@
secure
smtp-
somebody
someone
spybot
sql.
subscribe
support
t-dialin
t-ipconnect
test@
time
user@
variabel
verizon.
viren
virus
whatever@
whoever@
winrar
winzip
you@
yourname

10.发送带毒邮件给搜索到的邮箱,邮件内容为英语或德语.

病毒邮件具有如下特征:

发件人:(以下之一)

Service
Webmaster
Register
Hostmaster
Postmaster
service
webmaster
register
hostmaster
postmaster
police@FBI.gov
Officer@FBI.gov
Admin@FBI.gov
Web@FBI.gov
FBI@FBI.gov
police@fbi.gov
Officer@fbi.gov
Admin@fbi.gov
Web@fbi.gov
FBI@fbi.gov
Security@microsoft.com

主题:(以下之一)

IhrPasswortwurdegeaendert
IhrneuesPasswort
EMail-Empfangfehlgeschlagen
ParisHiltonNackt!
ParisHiltonSexVideos
Seitensprunggesucht?
Vorsicht!NeuerSoberWurm!
AnhangScanner:KeinVirusenthalten
MailScanner:KeinVirusgefunden
AntiVirusSystem:NoVirusfound
YournewPassword
Mail_delivery_failed
ParisHilton,pure!
Alert!NewSoberWorm!
Attachment:NoVirusfound
Mail-Scanner:NoVirusdetected
AntiVirus:Foundtobeclean
Youvisitillegalwebsites

正文:(以下之一)

Hallo,
wirhoffendasIhnendieBetreffszeileunsereMailgenugsagt.
DerJugendschutzverbietetunsleidermehrAuskunftueberunserAngebotzugeben.
Informationen,,,,wieSiesichbeiunsanmeldenkoennenbefindensichimbeigefuegtenDokument.
NatuerlichistdieAnmeldungKostenlos!
Mehrals2.5MillionenregistrierteBenutzer!!!
Daistfuerjedenwasdabei!
AufWiedersehen
WichtigeInformation!
EineneueSober-VarianteverbreitetsichderzeitimInternet.WieseineVorgaengerverschicktsichderWurmvoninfiziertenWindows-RechnernperE-MailanweitereAdressen.
Eswirddeshalbempfohlen,dasPatch-ToolauszufuehrenumsichvordiesemWurmzuschuetzenbzw.diesenwiederzuentfernen.
---(c)2005MicrosoftCorporation.AlleRechtevorbehalten
---Vertretungsberechtigter:JuergenGallmann
---Handelsregisternummer:HRB70438
---E-MailAdresse:security@microsoft.com
##DieseE-Mailwurdeautomatischgeneriert
##AusGruendenderSicherheit,bekommenSiedieseE-Mail
##wennIhraktuellesBenutzer-Passwortveraendertwurde
---------------
IhrneuesPasswortundweiterInformationenbefindensichimbeigefuegtenDokument.
****EinServicevon
****http://www.
****Mail:Help-Line
VielenDank,dassSiesichbeiregistrierthaben.
DerBetragvon,-EuroisterfolgreichaufunseremKontoeingegangen.
Passwort,BenutzernameundweiterewichtigeInformationenzuihremneuenAccountbefindensichimangeheftetenDokument.
Hochachtungsvoll
SilviaHochberger
-SystemMail-
DieseanihnengerichteteE-Mail,wurdeineinemfalschenFormatgesendet.
DerBetreff,HeaderundTextdieserMail,wurdedeshalbseparatineinerText-Dateigespeichertundgezippt.
VielenDankfuerIhrVerstaendnis[Systemauto-mail]
GutenTag,
mehrals50Videos,
Mehrals1000heisseFotos
undmehrals300originalSoundsvonderkleinenHilton.........
AllesfreizumDownload,abernurbiszum01April2005!!!
WeitereDetailsentnehmenSiebittedemvorliegendemDokument.
VielenDank!
Webmaster
DearSir/Madam,
wehaveloggedyourIP-addressonmorethan40illegalWebsites.
Important:Pleaseanswerourquestions!
Thelistofquestionsareattached.
Yoursfaithfully,
M.JohnStellford
++-++FederalBureauofInvestigation-FBI-
++-++935PennsylvaniaAvenue,NW,Room2130
++-++Washington,DC20535
++-++(202)324-3000
ATTENTION!
AntivirusvendorsarewarningofanewvariantoftheSober
virusdiscoveredtodaythatcandeletetheharddisk.
Protection:
Downloadandreadthezippedpatch.It"sveryeasytoinstall!
Thanksforyourcooperation!
---(c)2005MicrosoftCorporation.Allrightsreserved
---MicrosoftCorporation
---OneMicrosoftWay
---Redmond,Washington98052-6399
Morethan50HOTHiltonVideos
Morethan3000Hiltonpicks
FREEDownloaduntilApril,2005
MakeyourownDownloadAccount,itsfree!
Furtherdetailsareattached
Thanks&havefun;)
ThisisanautomaticallygeneratedDeliveryStatusNotification.
ESMTPError[]
I"mafraidIwasn"tabletodeliveryourmessage.
Thisisapermanenterror;I"vegivenup.Sorryitdidn"tworkout.
Thefullmail-textandheaderisattached
Thanksforyourregistration!
Wehavereceivedyourpayment.
Formoredetailedinformation,readtheattachedtext.

附件:(以下之一)

Patch-Formular.zip
Patch-Tool.zip
PSW-Text.zip
zipped-text.zip
zipped-mail.zip
Register-Info.zip
register_text.zip
header_text.zip
text_register.zip
patch_help-text.zip
text-indictment_cit.zip