又一個走偏門的人——佣金中國註冊IDCenfang

W32.Lovgate.R@mm（別名lovgate.w）病毒檔案


/ h$ R) j" n. n7 v& A: x別名：Win32/LovGate.AB.Worm, W32/Lovgate.R@mm (F-Secure), I-Worm.LovGate.w (Kaspersky), WORM_LOVGATE.W (Trend), W32/Lovgate.x@MM (McAfee)
( z0 t% v4 O" T. a' H! K
* o3 y2 u2 E0 q. cW32.Lovgate.R@mm 病毒運行後，執行如下過程：
1.把自身複製成如下文件：
8 J1 G5 F* v& O$ |%Windir%\Systra.exe
% {: D1 h  v- \%System%\Hxdef.exe
%System%\iexplore.exe
%System%\RAVMOND.exe
%System%\Kernel66.dll(設置成隱藏，只讀的系統屬性)
%System%\WinHelp.exe
& k1 u! X4 l; l& {5 m. g' x' b  y* 缺省情況下Windows　NT/2000System文件夾為C:\Winnt\ System32, XP下為C:\Windows\System32
+ L" m+ j+ J# B7 d+ ]# v+ p
2.創建下列文件：
8 J4 S) i4 M) z　%System%\ODBD16.DLL(53,760 bytes)
7 k0 B; Z5 P6 t- q0 t%System%\Msjdbc11.DLL(53,760 bytes)
% S% `9 i& ]* @! x, ~" B%System%\MSSIGN30.DLL(53,760 bytes)
: Y4 v- U- u9 a' {" l" v
% Y: Q( G0 D0 w2 F2 U! x" M%System%\NetMeeting.exe(61,440 bytes)
- D# o. I) H# U8 W" {8 j/ a%System%\spollsv.exe(61,440 bytes)
0 W: Z% M* @& m9 l5 q4 X
3.在病毒所在文件夾下，可能創建如下文件：
( ^6 [7 ]* ?5 g( f0 O! Ta
& K, v; a4 C; F6 g! tresults.txt
( \' y$ w1 J% M+ w" G( l6 _/ i6 fwin2k.txt
8 j/ I) y6 G; j" ]winxp.txt
* |1 j9 b& l8 K' b0 C" y7 R! L1 ~
3 a2 T1 g3 ~* L- I4.病毒修改註冊表：
　1).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 下添加如下鍵值確保自身在系統運行後啟動：
"Hardware Profile"="%System%\hxdef.exe"
( C6 a+ f2 @9 S5 s1 n"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
"Program in Windows"="%System%\IEXPLORE.EXE"
"Proteced Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
; W$ {* N+ W, T( e- ?9 Q"Shell Extension"="%System%\spollsv.exe"
( l+ h  E$ N4 @+ `2 s"VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSING30.DLL ondll_reg"
"WinHelp"="%System%"\WinHelp.exe
9 z: r6 I  w6 U# {　
# M5 s4 h/ M6 d7 v0 r2).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 下添加如下鍵值將自身設為服務(Windows 95/98/Me下)：
"SystemTra"="%Windir%\Systra.exe"
8 P$ Q: i& O. Y
$ p( e* q" j- B: J* B, X9 n3).在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 下添加如下鍵值使得(NT/2000/XP)系統啟動時，病毒同時運行：
1 ~5 D, ?) ?" {7 \6 X"run"="RAVMOND.exe"
3 i- ~% l7 u% ^6 Z2 U" |
, }3 |' A  f& |/ p8 _6 {4).創建子鍵：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1
  N" O* e* T7 J! I3 M+ o! Y
! G8 }+ ]8 r' {- y$ D1 F- @) D5.停止如下服務：
Rising Realtime Monitor Service
Symantec Antivirus server
# e6 U6 `/ {% a, s6 vSymantec Client
0 O0 z! N' r( a/ S
  x$ W& ?, J& W2 V6 a9 }; ?6.創建關聯"Rundll32.exe msjdbc11.dll ondll_server"的服務："Windows Management Protocol v.0(experimental).","_reg"

7.終結包含如下字符串的所有進程(很明顯，病毒想停止殺毒程序的進程)：
3 X1 a( Y5 \1 K; {: UKV
KAV
Duba
0 c4 X9 v% B& _NAV
( i1 \0 v/ y3 y* `# y) d2 z) Hkill
' K* j4 _* X4 W' @5 t- t& u. a9 zRavMon.exe
Rfw.exe
Gate
/ |/ r; I6 j+ n/ |6 eMcAfee
- A4 R# G2 Z7 l1 ~4 cSymantec
SkyNet
rising

$ Z  ]  Z1 R& D8.在6000端口上運行後門程序，該程序收集機器的系統信息保存到C:\Netlog.txt中，並將其發送至攻擊者。

& B9 x  U6 t* ?4 J+ j9.以如下形式將自身拷貝到所有網絡共享文件夾及其子文件夾下：
WinRAR.exe
Internet Explorer.bat
2 N, b8 Z; o5 y: i; Y  M7 fDocuments and Settings.txt.exe
Microsoft Office.exe
) B4 _; b9 \; v) R& u8 l5 J6 D# aWindows Media Player.zip.exe
) J3 y5 `' g$ a5 o5 |Support Tools.exe
3 Z- p$ a; c# c4 \! i! }8 S: S9 kWindowsUpdate.pif
Cain.pif
& ]& ^4 i& t# A* ~MSDN.ZIP.pif
autoexec.bat
8 U. J# H/ W: a( Zfindpass.exe
5 J/ H4 W( j* A5 b" b2 [client.exe
5 Y& `( Q' ^  k# e  Ai386.exe
winhlp32.exe
xcopy.exe
mmc.exe

8 F( B* U" f$ y. l5 r# F10.掃瞄本機所在局域網，以"Administrator"作為賬號，並用如下字符串作為口令試探登陸其他機器：
Guest
Administrator
.....
*如果沒有設置密碼，病毒同樣會用"Adimistrator"登陸遠程機器
2 G% c6 S; F7 n; D& S
11.如果病毒能夠成功登陸遠程機器，它會嘗試將自身複製到\\<remote computer name>\admin$\system32\NetManager.exe，並把文件"Windows Management NetWork Service Extensions."設為服務

12.向Explore.exe或者Taskmgr.exe中注入線程，如果線程發現病毒程序沒有運行，或者已經被刪除，它會嘗試拷貝自身並運行。
& \% X7 s1 H- U% {: F- J
13.在隨機端口打開FTP服務，並且不加認證，這也意味著被感染的機器已經向所有人開放。

* L0 W5 n  ~+ ]- P, M14.創建一個網絡共享"Media"，指向"%Windir%\Media"

15.在所有硬盤分區(不包括A,B)的根目錄下創建壓縮文件：<filename>.<ext>。
  D: S; |4 R0 ?/ H4 ~2 D<filename>通常是如下中一個：
WORK
' H" S9 n: b% i1 @% ~3 B) Msetup
2 u, f7 I6 g0 y+ m+ IImportant
bak
letter
' @( o: ^' T' Ypass
3 y5 c- q* T: H( F; s  b
<ext>通常是RAR或者ZIP

該壓縮包中包含一份病毒的備份文件，文件名為<filename>.<ext>
$ I! D) @: ~' P7 _6 l, a; h7 |( p<filename>通常是如下中一個：
! X( g7 r2 i$ A* d% c! nWORK
setup
Important
3 y( q+ e) F9 s7 Hbook
/ u# ~" m5 V$ B$ L3 a. Zemail
PassWord

<ext>通常是exe,com,pif,scr
& @0 O" M  t$ e2 ?
! j! ?- p9 e6 ^. t1 s7 k16.在所有分(不含CD-ROM分區)的根目錄下創建文件Autorun.inf，並將其拷貝為該文件夾下的Command.com
*如果雙擊該圖標，病毒將被運行．
4 l7 g) v+ }  X* B5 \
17.病毒掃瞄所有硬盤分區，一旦發現分區屬於移動硬盤，映射驅動器或者分區號超過E，則病毒將執行如下操作：
嘗試將所有擴展名為.exe的文件其擴展名改成.zmx
: t( G9 S: B! N8 d將這些文件的屬性設成「隱藏」和「系統」
$ [1 \. D4 e, Z4 j2 D+ ]將自身拷貝為原始文件名
例如：病毒發現文件temp.exe，它將把文件更名為temp.zmx，並將自己的一個拷貝改名為temp.exe

18.通過DCOM RPC漏洞(基於TCP協議的135端口)，嘗試攻擊其他機器
1 L  @) F% g( M3 x5 n
19.通過各種郵件客戶端程序(包括OE)，回復郵箱裡的所有來信
0 J, {7 P% _5 M% ?; M例如： 原始郵件如下：
* N8 ^3 s5 X) n- p5 T5 nSubject: <subject>
8 T5 e+ Q  y+ b& K; y( bFrom: <someone>@<somewhere.com>
Message: <original message body>
" y' x5 h+ k' j1 `$ o' |
病毒嘗試發送如下郵件：
4 i8 s: }" Z( z, _* L5 z1 dSubject: Re: <subject>
4 Q6 W; e" h6 G8 S8 GTo: <someone>@<somewhere.com>
. d" i4 E  A; t! }Message:
<someone> wrote:
$ K" G  P0 S9 U: [/ E, ~! p. t====
> <original message body>
>
====
1 F! G9 _4 \! C! ?. |
<senders domain> account auto-reply:
後邊通常是：
If you can keep your head when all about you
Are losing theirs and blaming it on you;
If you can trust yourself when all men doubt you,
But make allowance for their doubting too;
If you can wait and not be tired by waiting,
Or, being lied about,dont deal in lies,
/ ^7 d, L: r* `$ qOr, being hated, dont give way to hating,
9 e0 w" a$ O5 X% n3 @* M6 _& uAnd yet dont look too good, nor talk too wise;
3 s( v) p, Z" D2 c5 h5 `& w* e... ... more look to the attachment.

; b3 p' h  |0 [3 g: }# t! L> Get your FREE <senders domain>now! <
3 s3 }  [8 v0 |) @+ q
' Z$ l, p7 Y& m4 ^: O0 `附件通常是下邊中的一個：
0 }2 G+ V$ |, ^" A! athe hardcore game-.pif
Sex in Office.rm.scr
$ K, q! f" q$ E) S# B8 Z3 E1 c4 BDeutsch BloodPatch!.exe
s3msong.MP3.pif
! C& w' @: t/ A9 k5 Y7 u) DMe_nude.AVI.pif
4 S3 [7 S. V7 N7 W( n( Q8 X7 hHow to Crack all gamez.exe
Macromedia Flash.scr
. I4 h1 a( O. e6 h2 N8 {/ vSETUP.EXE
# B  P' k0 t4 H2 y' J) Y9 J. TShakira.zip.exe
4 s+ {% C$ D- xdreamweaver MX (crack).exe
StarWars2 - CloneAttack.rm.scr
: e% ^( H# s' j. kIndustry Giant II.exe
DSL Modem Uncapper.rar.exe
# q0 d" ^6 G& g) [, n. q8 Xjoke.pif
Britney spears nude.exe.txt.exe
I am For u.doc.exe


20.掃瞄系統的WAB文件，Internet臨時文件夾，映射驅動器，以及內存，將自身通過收集到的郵件地址發送出去。

21.病毒遍歷所有硬盤分區以及內存，在擴展名是下列幾種的文件中收集E-mail地址：
.txt
.htm
.sht
.php
, p/ x6 X! y2 x; n.asp
9 L' l/ b8 Q$ [.dbx
0 b  b3 N1 u9 `2 a.tbb
.adb
.pl
# ?2 N4 Q5 H  i& H! J; q; {% `! x.wab
; s5 R( q& u" }# }
) v* p, F9 b0 ]) k22.使用其自身攜帶的SMTP引擎，發送郵件
郵件如下：
2 s: h! o, p1 y; g; s( \- Z& ~% w" c發送人: 發送人的姓名在病毒攜帶的列表裡隨機尋找一個

  I+ X# V' [3 w6 b# C標題: 郵件的主題通常是下邊的一個:
' }( t# l: ~1 Y1 E8 M% x
test
hi
4 ?$ I1 ~3 U" g" o* i) z# R. I0 }& uhello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error
- w# ]; I& Z3 O# W: T
0 S+ x! u8 s: m' p% W5 J正文: 郵件內容通常是下邊的一個:

; I0 x# |: @' [$ s0 bIts the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
" w2 a; \: A( z- n0 L6 C7 NThe message contains Unicode characters and has been sent as a binary attachment.
Mail failed. For further assistance, please contact!
. _7 T$ e: x$ ]' S! I
) R$ ^. q  o9 g" [附件: 隨機創建文件名，並生成如下擴展名:
4 f* G% X$ n  p- j8 M: L
! a3 T# d9 T9 a- y.exe
.scr
.pif
% [2 z1 F* U9 S# d" C.cmd
.bat
.zip
.rar

自己搜索的...
) w  l" }! f- a8 c0 T俺中這個病毒無數次...每次都頭大...

CENFANG--來自aisoho，應該是我們這裡的vip會員