蠕虫病毒防范与清除之SCO炸弹病毒分析报告

全站搜索

首页 -> 技术学院 -> 系统安全 -> 病毒剖析

2004-11-06 作者：天极网阅读量：

病毒名称：SCO炸弹(Worm.Novarg)

这是一个蠕虫病毒。用upx压缩。

病毒行为：

病毒运行后将在系统注册表试着打开HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version这个键。
如果失败病毒将认为是第一次运行在系统中加入该键。并在%temp%目录中随机生成一个文件（内容随机）并用notepad打开该文件。（这是病毒用来伪装的，病毒图标为一个文本文件）病毒将自己复制到%system%目录下，文件名为：taskmon.exe并在注册表:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Run加入自己的键值：TaskMon

后门：

病毒释放一个dll文件到%system%目录中。文件名为：shimgapi.dll
并将该文件以系统组件形式植入系统（以便随系统启动时启动）方式为：
在加入注册表HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}
项。

该模块为一个代理服务器，端口为3127至3198该模块还能根据传来的命令接受一个文件到本地系统并执行。

Dos攻击：

病毒将在一个时段范围内(2004.2.1至2004.2.12向www.sco.com网站发动Dos攻击）攻击线程达64个。

P2P共享传播：

病毒将通过注册表Software\Kazaa\Transfer查询P2P软件的共享目录并将自己以随机选择体内的文件名将自己复制到该目录。

文件名为：

winamp5,icq2004-final,activation_crack,strip-girl-2.0bdcom_patches,rootkitXP
office_crack,nuke2004

责任编辑：水蜜桃
文章来源：天极网 2004-11-06