又一個走偏門的人——佣金中國註冊IDCenfang

W32.Lovgate.R@mm（別名lovgate.w）病毒檔案
- |9 {! e' A0 p$ D  P# `- Q
/ k+ W" Q4 Y+ }# O
別名：Win32/LovGate.AB.Worm, W32/Lovgate.R@mm (F-Secure), I-Worm.LovGate.w (Kaspersky), WORM_LOVGATE.W (Trend), W32/Lovgate.x@MM (McAfee)

W32.Lovgate.R@mm 病毒運行後，執行如下過程：
6 r; y* \5 W. x6 t1.把自身複製成如下文件：
%Windir%\Systra.exe
- O# b+ g9 Z1 Z' A6 M' {%System%\Hxdef.exe
%System%\iexplore.exe
5 [& u) _0 C' q7 L1 q0 Q7 e/ F%System%\RAVMOND.exe
; M( u( {1 L; d' i# }/ g%System%\Kernel66.dll(設置成隱藏，只讀的系統屬性)
%System%\WinHelp.exe
* 缺省情況下Windows　NT/2000System文件夾為C:\Winnt\ System32, XP下為C:\Windows\System32

  x6 C: B# Z& l0 o. S" A2.創建下列文件：
- }- |) `  H# A! S5 g　%System%\ODBD16.DLL(53,760 bytes)
4 g1 F: a9 u' c; v- T%System%\Msjdbc11.DLL(53,760 bytes)
: v) p$ e2 A5 v9 ?%System%\MSSIGN30.DLL(53,760 bytes)

%System%\NetMeeting.exe(61,440 bytes)
%System%\spollsv.exe(61,440 bytes)

5 r  k3 U1 p4 F8 r! @% J  X3.在病毒所在文件夾下，可能創建如下文件：
3 i+ W' h$ R- l' [2 \& c  Da
results.txt
2 V0 H, G# n7 D( U8 C4 n  Swin2k.txt
winxp.txt

4 D; ~0 k3 t( X+ f6 i+ K4.病毒修改註冊表：
　1).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 下添加如下鍵值確保自身在系統運行後啟動：
"Hardware Profile"="%System%\hxdef.exe"
, q5 l( N( P& E5 K# O"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
"Program in Windows"="%System%\IEXPLORE.EXE"
"Proteced Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
, s8 ^' Z* `1 s  v"Shell Extension"="%System%\spollsv.exe"
"VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSING30.DLL ondll_reg"
, Q3 d4 |% L/ F& A( ^"WinHelp"="%System%"\WinHelp.exe
　
+ p# T9 o2 G% P1 S$ l$ O2).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 下添加如下鍵值將自身設為服務(Windows 95/98/Me下)：
" Z! B6 w& R+ h. V# b( L) E( e+ Y"SystemTra"="%Windir%\Systra.exe"
. }2 C2 Y7 y& m* H
3).在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 下添加如下鍵值使得(NT/2000/XP)系統啟動時，病毒同時運行：
"run"="RAVMOND.exe"
# \8 ^3 P9 C% E; ^' Q
4).創建子鍵：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1

; `* i+ `0 o# }, Q5.停止如下服務：
Rising Realtime Monitor Service
Symantec Antivirus server
' L% e' v2 i% L/ u# {# {# |& ISymantec Client

6.創建關聯"Rundll32.exe msjdbc11.dll ondll_server"的服務："Windows Management Protocol v.0(experimental).","_reg"

/ @' \- L) t$ U* y7.終結包含如下字符串的所有進程(很明顯，病毒想停止殺毒程序的進程)：
1 G: b8 I/ t% o$ w3 CKV
KAV
% _# h, s0 t4 @) J! F7 r5 n* |1 j+ FDuba
, Z5 d0 k/ s, O1 t/ vNAV
kill
  k4 m0 N6 ]* k/ k& YRavMon.exe
Rfw.exe
Gate
McAfee
Symantec
SkyNet
rising

8.在6000端口上運行後門程序，該程序收集機器的系統信息保存到C:\Netlog.txt中，並將其發送至攻擊者。

: }! D$ T! @$ R9.以如下形式將自身拷貝到所有網絡共享文件夾及其子文件夾下：
" Y0 |; ^; J# W9 G. mWinRAR.exe
; K2 |7 {9 \6 B: y, ZInternet Explorer.bat
$ [4 N" Z9 A, pDocuments and Settings.txt.exe
: j6 Y7 t4 O! Q! t$ YMicrosoft Office.exe
Windows Media Player.zip.exe
Support Tools.exe
WindowsUpdate.pif
Cain.pif
MSDN.ZIP.pif
5 c1 c% C6 m2 F! P6 kautoexec.bat
findpass.exe
client.exe
i386.exe
( O) D: K- d" ^winhlp32.exe
! f; d/ @; T5 o: X6 ^3 Jxcopy.exe
mmc.exe
4 b3 {; K5 W  N( a) _
10.掃瞄本機所在局域網，以"Administrator"作為賬號，並用如下字符串作為口令試探登陸其他機器：
Guest
Administrator
.....
*如果沒有設置密碼，病毒同樣會用"Adimistrator"登陸遠程機器
# k0 z+ M& J5 I$ |# |) E
/ V8 K( C5 N5 `5 T  Y11.如果病毒能夠成功登陸遠程機器，它會嘗試將自身複製到\\<remote computer name>\admin$\system32\NetManager.exe，並把文件"Windows Management NetWork Service Extensions."設為服務
' v. y- j& l- @& _# ?' c
12.向Explore.exe或者Taskmgr.exe中注入線程，如果線程發現病毒程序沒有運行，或者已經被刪除，它會嘗試拷貝自身並運行。

13.在隨機端口打開FTP服務，並且不加認證，這也意味著被感染的機器已經向所有人開放。
1 R( l% B. D& a3 a6 i8 C& \# S
7 @  w: b7 f& a5 x14.創建一個網絡共享"Media"，指向"%Windir%\Media"

) w) @1 v% i5 [8 {( b; M15.在所有硬盤分區(不包括A,B)的根目錄下創建壓縮文件：<filename>.<ext>。
<filename>通常是如下中一個：
% V2 T/ c: v# ~9 L" m0 K0 j4 z6 eWORK
setup
Important
bak
$ v' t) b: d5 Lletter
- w2 J4 |8 M* m3 vpass
5 {7 d+ Q* S* W. C1 y4 i
( ?3 Z- F! y& I9 ~<ext>通常是RAR或者ZIP

該壓縮包中包含一份病毒的備份文件，文件名為<filename>.<ext>
% U; c% Z' I- U) n<filename>通常是如下中一個：
, K6 M! M9 C* v1 aWORK
7 ~. d) w2 ~* B6 O7 qsetup
2 X- S5 T& n5 g7 BImportant
) w4 F8 s* j3 u- ]" o: Z0 o, @book
' F* e* q. p( a) ]email
7 e0 y+ a4 y0 v; U* H1 l+ ~PassWord
7 K0 }" w# O  H1 t* r
8 i2 `4 ]8 @# D6 p6 i5 `" a<ext>通常是exe,com,pif,scr
# w. g1 S% O( B6 B
16.在所有分(不含CD-ROM分區)的根目錄下創建文件Autorun.inf，並將其拷貝為該文件夾下的Command.com
*如果雙擊該圖標，病毒將被運行．

5 h, m  ?4 I2 S) w6 x7 V17.病毒掃瞄所有硬盤分區，一旦發現分區屬於移動硬盤，映射驅動器或者分區號超過E，則病毒將執行如下操作：
3 g, X9 d/ B( {* x$ C: _嘗試將所有擴展名為.exe的文件其擴展名改成.zmx
將這些文件的屬性設成「隱藏」和「系統」
將自身拷貝為原始文件名
0 L# |, W# T  t7 i5 v7 Y) l! d例如：病毒發現文件temp.exe，它將把文件更名為temp.zmx，並將自己的一個拷貝改名為temp.exe
' k4 ^  P" ~8 ?; p5 m& J/ d$ {( p
* \7 p, f; o+ Z- _18.通過DCOM RPC漏洞(基於TCP協議的135端口)，嘗試攻擊其他機器
. @: l: b! N4 Y% a0 J. d+ O
# s( O. T0 \9 O5 @1 D/ E, n19.通過各種郵件客戶端程序(包括OE)，回復郵箱裡的所有來信
例如： 原始郵件如下：
Subject: <subject>
5 o2 P+ O+ E, Z( v1 LFrom: <someone>@<somewhere.com>
+ s% Q! t1 |0 v5 k( Q: g1 V  j4 dMessage: <original message body>
: Y) }6 Y! s, u! j/ J; B6 P4 M
病毒嘗試發送如下郵件：
6 s: K8 U: f' J! TSubject: Re: <subject>
( A' b/ I1 F8 Z0 w* Z- r2 B0 dTo: <someone>@<somewhere.com>
Message:
& n' F& t. T: K* Z4 P<someone> wrote:
====
: i) j$ _6 o! ]4 Q> <original message body>
  e# s( G' Z. ~0 T& L0 ?- U  m>
====
# u% W: V+ q# t3 {4 R6 h  G% P2 e
3 w9 G0 O6 t' e2 U<senders domain> account auto-reply:
後邊通常是：
1 k8 s) I8 @' M% i. e5 Y* Z! fIf you can keep your head when all about you
8 h' v% U/ C! ?( tAre losing theirs and blaming it on you;
8 q, I1 L; ]$ X8 HIf you can trust yourself when all men doubt you,
But make allowance for their doubting too;
If you can wait and not be tired by waiting,
3 [9 z' I( c. @6 f: P7 lOr, being lied about,dont deal in lies,
Or, being hated, dont give way to hating,
1 P/ W' I# \$ u2 r. K2 K6 IAnd yet dont look too good, nor talk too wise;
... ... more look to the attachment.

> Get your FREE <senders domain>now! <

附件通常是下邊中的一個：
the hardcore game-.pif
8 W+ k9 f) q6 p+ \- ], X( MSex in Office.rm.scr
Deutsch BloodPatch!.exe
s3msong.MP3.pif
3 e3 J$ I# P. ?1 q- d" RMe_nude.AVI.pif
0 i. P% @: ^! @4 Y: [/ qHow to Crack all gamez.exe
Macromedia Flash.scr
/ V8 K1 O+ M( |% R: D8 ?# VSETUP.EXE
: Q3 G- _. T$ L# l" QShakira.zip.exe
dreamweaver MX (crack).exe
StarWars2 - CloneAttack.rm.scr
Industry Giant II.exe
% |8 \1 T3 _1 z  b; ?& i& N  ~DSL Modem Uncapper.rar.exe
+ l  ~! z& ]7 v, q! x* ~joke.pif
- N' k7 U3 `" m4 RBritney spears nude.exe.txt.exe
/ k# Q! B+ P$ U) G5 f+ T8 Z: m  ?I am For u.doc.exe
: N% r) @) _6 H4 ~
. G6 a8 w" \" W9 @
20.掃瞄系統的WAB文件，Internet臨時文件夾，映射驅動器，以及內存，將自身通過收集到的郵件地址發送出去。

21.病毒遍歷所有硬盤分區以及內存，在擴展名是下列幾種的文件中收集E-mail地址：
.txt
$ Q% ?) y3 o% a7 f. p5 ]; |$ @: ^: ~6 }, A.htm
.sht
2 E) c# p2 n& Z.php
.asp
2 r4 r8 w! I* u4 j5 w.dbx
: j. ~# s8 ~' S, O5 C3 Q$ L5 O. C5 L.tbb
.adb
% K3 U* }# [! ?. h7 J1 [0 z' N0 y' N.pl
.wab
# H: ?: k4 v, E7 w
; P. b- r5 Y* F3 E% W' p) G8 s22.使用其自身攜帶的SMTP引擎，發送郵件
, n( \$ _0 [- P- _0 D2 s郵件如下：
! C- x& V7 x. u& G& J" q, I' `發送人: 發送人的姓名在病毒攜帶的列表裡隨機尋找一個
/ b2 W7 E$ y, B
標題: 郵件的主題通常是下邊的一個:
: m3 I4 G" ~( `5 n, _
test
& ~. L! X3 f  H" O: P" c* M8 Qhi
& |6 c! y' o4 S& Z. `( x+ n/ Q5 `: ghello
* f' I0 h4 N' n+ F4 [) G% M7 Z) pMail Delivery System
2 O0 t, r* m$ P) Q7 t$ k- NMail Transaction Failed
  r. F5 G& W* Q+ H: A. x$ o. Z6 PServer Report
Status
& q2 b7 `8 `1 V5 {2 XError
$ u+ m% h* H1 n0 P0 w* m; U3 ^- K
正文: 郵件內容通常是下邊的一個:
5 `) n6 |8 X& P1 J
Its the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
- a) Q7 E  l* Q$ |1 N; AThe message contains Unicode characters and has been sent as a binary attachment.
Mail failed. For further assistance, please contact!
( X! ]3 `$ T& {- ~) ^, O
2 z& l/ H# x+ q  `附件: 隨機創建文件名，並生成如下擴展名:
9 {8 W# P, W& L( L( ?* w2 b! [
0 Q5 e5 R+ X/ P% s9 c! j.exe
.scr
3 O" o3 S9 G9 }9 n.pif
.cmd
.bat
.zip
.rar

自己搜索的...
俺中這個病毒無數次...每次都頭大...

CENFANG--來自aisoho，應該是我們這裡的vip會員