又一個走偏門的人——佣金中國註冊IDCenfang

W32.Lovgate.R@mm（別名lovgate.w）病毒檔案
2 q* I' U' o! J, }. Z+ O7 X$ g

( N& L/ D; K6 e1 J2 l" |別名：Win32/LovGate.AB.Worm, W32/Lovgate.R@mm (F-Secure), I-Worm.LovGate.w (Kaspersky), WORM_LOVGATE.W (Trend), W32/Lovgate.x@MM (McAfee)
' S  m; M: m1 e% b% N; D
$ @# U- z& v! ?* u$ X' X3 LW32.Lovgate.R@mm 病毒運行後，執行如下過程：
1.把自身複製成如下文件：
* ?0 H0 ~; Q9 T%Windir%\Systra.exe
%System%\Hxdef.exe
' t/ q5 [" \9 v3 T%System%\iexplore.exe
% J7 t- L4 p- ?3 Y# {+ c%System%\RAVMOND.exe
# ~0 h: h" |- [( O/ A/ E: f. }%System%\Kernel66.dll(設置成隱藏，只讀的系統屬性)
) @3 o8 }. w% A6 w/ X# R# B9 q8 H%System%\WinHelp.exe
* 缺省情況下Windows　NT/2000System文件夾為C:\Winnt\ System32, XP下為C:\Windows\System32

" Y6 C1 q* x8 P- G2.創建下列文件：
4 k% D  j3 N8 G* z　%System%\ODBD16.DLL(53,760 bytes)
; r5 f1 R& {5 K$ N%System%\Msjdbc11.DLL(53,760 bytes)
%System%\MSSIGN30.DLL(53,760 bytes)
) G7 [# Z7 R) p* k0 i, C" X1 F! G
- q, g6 n/ E) G6 a%System%\NetMeeting.exe(61,440 bytes)
# ?8 w1 X/ y5 ?* c6 S( Y- F3 h%System%\spollsv.exe(61,440 bytes)

3.在病毒所在文件夾下，可能創建如下文件：
  Z) ?: D7 y# y- Sa
' P" X' `1 K( v  C; |results.txt
9 R" _- J# ~1 a# e" ^win2k.txt
; e$ S( G4 q/ p0 q# |% M# D. xwinxp.txt

, u( U6 d" D5 o+ |, W9 G: M, q4.病毒修改註冊表：
　1).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 下添加如下鍵值確保自身在系統運行後啟動：
. R: v9 l2 V. Z2 f* \6 e- G- {"Hardware Profile"="%System%\hxdef.exe"
; n: u: b% E9 l% ^( ^1 P: R# @"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
"Program in Windows"="%System%\IEXPLORE.EXE"
" B- B  u: f2 w0 U# w9 c"Proteced Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
"Shell Extension"="%System%\spollsv.exe"
"VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSING30.DLL ondll_reg"
- w3 x! ]; j6 {- Y/ ?"WinHelp"="%System%"\WinHelp.exe
　
2).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 下添加如下鍵值將自身設為服務(Windows 95/98/Me下)：
"SystemTra"="%Windir%\Systra.exe"
( Y& f" q" C( b' @. D
3).在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 下添加如下鍵值使得(NT/2000/XP)系統啟動時，病毒同時運行：
0 z! o3 h: J4 Z"run"="RAVMOND.exe"

4).創建子鍵：
% K3 G% O. i/ p, E+ YHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1

2 p1 K9 L2 x1 I5 A0 G* r& S5.停止如下服務：
1 W9 A( n1 @7 r; ^Rising Realtime Monitor Service
! J1 v9 k$ t1 b  c4 o  FSymantec Antivirus server
Symantec Client

6.創建關聯"Rundll32.exe msjdbc11.dll ondll_server"的服務："Windows Management Protocol v.0(experimental).","_reg"

) z7 H& B% `0 p( ~* M7.終結包含如下字符串的所有進程(很明顯，病毒想停止殺毒程序的進程)：
KV
KAV
& H1 H( u( E# K' XDuba
NAV
$ {! f' Q, I' j. W- Ckill
RavMon.exe
  @7 C6 S4 E! j. d( y4 X, BRfw.exe
% L6 J6 x/ a* T( @! {Gate
McAfee
7 U" k# W$ R: [  \7 T$ lSymantec
1 F1 N3 D9 e7 _# iSkyNet
rising
- Q4 Z: |1 H& x' k* L8 r
0 E9 _  ~$ I. |  u5 F/ x# Q8.在6000端口上運行後門程序，該程序收集機器的系統信息保存到C:\Netlog.txt中，並將其發送至攻擊者。

  l3 I1 @/ f& ]4 }* ?4 l) u+ _9.以如下形式將自身拷貝到所有網絡共享文件夾及其子文件夾下：
$ ?( A0 ^  u0 l  q' W) W! {WinRAR.exe
Internet Explorer.bat
, Y& g1 M9 H2 Z; pDocuments and Settings.txt.exe
Microsoft Office.exe
' P. w1 ?- d% t1 s! PWindows Media Player.zip.exe
Support Tools.exe
: Q9 Y: |8 V4 E  P/ D9 XWindowsUpdate.pif
( `' [/ E/ c  V" C8 KCain.pif
/ h- a$ i: ~; G- BMSDN.ZIP.pif
autoexec.bat
2 {* z' o' m& {6 j& l6 G; {findpass.exe
client.exe
, `8 j* K4 `3 S% D& xi386.exe
$ B) Y. `( ^( x1 u& F) k/ h% ?/ xwinhlp32.exe
2 p! |8 o" X) _* Q4 E1 ^xcopy.exe
' B' P. ], Q3 R# T8 emmc.exe
" O4 S: o7 H: s# G& z% v
10.掃瞄本機所在局域網，以"Administrator"作為賬號，並用如下字符串作為口令試探登陸其他機器：
Guest
9 i$ \: h3 j& O* @7 RAdministrator
- l7 N5 I" J+ ]6 [) D# V( W7 `.....
  S* t9 X. A& U: S0 T) h9 C*如果沒有設置密碼，病毒同樣會用"Adimistrator"登陸遠程機器

11.如果病毒能夠成功登陸遠程機器，它會嘗試將自身複製到\\<remote computer name>\admin$\system32\NetManager.exe，並把文件"Windows Management NetWork Service Extensions."設為服務

; `3 ^' t, q! Y( o12.向Explore.exe或者Taskmgr.exe中注入線程，如果線程發現病毒程序沒有運行，或者已經被刪除，它會嘗試拷貝自身並運行。

13.在隨機端口打開FTP服務，並且不加認證，這也意味著被感染的機器已經向所有人開放。

14.創建一個網絡共享"Media"，指向"%Windir%\Media"

15.在所有硬盤分區(不包括A,B)的根目錄下創建壓縮文件：<filename>.<ext>。
<filename>通常是如下中一個：
2 h1 w5 h" o) G. N0 D) Y6 x, SWORK
# }1 q4 J9 A* Z2 W0 e& Qsetup
) m/ t0 t6 |+ Q$ w, t, Y6 _' hImportant
7 q9 w) W# O( d% Tbak
letter
pass
4 U6 m! X* s4 S/ e, e& D
<ext>通常是RAR或者ZIP

該壓縮包中包含一份病毒的備份文件，文件名為<filename>.<ext>
" [( k" e: ~  T8 f& s: V<filename>通常是如下中一個：
& q  u! }4 l+ [" |( cWORK
2 o: ]( B1 ^; I* W' m& S* ~5 B8 _setup
9 _) f4 s4 z! Z( B& sImportant
3 J0 q/ t/ k1 K  L! p' y* Vbook
/ \: ^% e, _& q# Q& Z2 J2 t) [email
2 q, P/ E) Q. [9 L2 wPassWord

<ext>通常是exe,com,pif,scr
/ X+ O' o: P; @" C, i
; @) ?: E; a+ W+ O" }( _# z) b16.在所有分(不含CD-ROM分區)的根目錄下創建文件Autorun.inf，並將其拷貝為該文件夾下的Command.com
8 b" a2 B3 V% Y$ K9 k*如果雙擊該圖標，病毒將被運行．
: Z8 a! j4 x* ?+ A2 p
; v# q: c5 X6 u9 u/ u  G# ]17.病毒掃瞄所有硬盤分區，一旦發現分區屬於移動硬盤，映射驅動器或者分區號超過E，則病毒將執行如下操作：
" \' {2 X0 _8 a; y  |+ h. M嘗試將所有擴展名為.exe的文件其擴展名改成.zmx
! X% B2 f: f0 @/ O$ Q將這些文件的屬性設成「隱藏」和「系統」
將自身拷貝為原始文件名
例如：病毒發現文件temp.exe，它將把文件更名為temp.zmx，並將自己的一個拷貝改名為temp.exe

18.通過DCOM RPC漏洞(基於TCP協議的135端口)，嘗試攻擊其他機器
. M1 P. L4 U3 _
19.通過各種郵件客戶端程序(包括OE)，回復郵箱裡的所有來信
3 q8 q! y* g4 Z" P: Q0 }例如： 原始郵件如下：
Subject: <subject>
, g9 A) q* k9 s7 u; Q) F( d) kFrom: <someone>@<somewhere.com>
$ O- E. J; @4 {; d. ?" T- iMessage: <original message body>
& q) F' M1 b8 k/ `' R
病毒嘗試發送如下郵件：
! W: O) p, ^6 H/ G2 \Subject: Re: <subject>
To: <someone>@<somewhere.com>
Message:
5 \  f7 Z9 w/ y6 y, x( G. z<someone> wrote:
' p2 e/ y4 f5 Q( L3 ]& Y, p1 R====
5 E0 J2 {/ p# Y+ X0 S( H* a8 {! @3 z> <original message body>
>
====

  F) p# h; O" g) |) ?; X<senders domain> account auto-reply:
3 w& ^$ k) V+ f後邊通常是：
( ~. C- o- X/ c6 x. o/ nIf you can keep your head when all about you
3 y& l4 W% ~3 l% Q  e1 z0 oAre losing theirs and blaming it on you;
If you can trust yourself when all men doubt you,
But make allowance for their doubting too;
. e7 }" G) V7 z) x+ M' Z" g1 `If you can wait and not be tired by waiting,
1 n, J8 i% N/ u& I8 ]8 n' XOr, being lied about,dont deal in lies,
Or, being hated, dont give way to hating,
2 U; B9 v1 S/ y) A* K4 N! TAnd yet dont look too good, nor talk too wise;
... ... more look to the attachment.

( d6 v& z8 U" D& ^3 t9 r> Get your FREE <senders domain>now! <
# P% T+ \# y; f4 @
7 K* z# w' ?& s7 N# G! p* [7 w附件通常是下邊中的一個：
the hardcore game-.pif
Sex in Office.rm.scr
6 U8 }) F2 U: v, M" zDeutsch BloodPatch!.exe
7 S: T4 X) f5 Y0 X" ds3msong.MP3.pif
* R: w9 |( I+ ]4 |! _- ^1 HMe_nude.AVI.pif
How to Crack all gamez.exe
3 \; W) B, R8 d/ {) Z  ?8 \& zMacromedia Flash.scr
. }. ~& O* A2 N1 NSETUP.EXE
6 w# U9 A2 V9 k/ _7 K1 `% XShakira.zip.exe
dreamweaver MX (crack).exe
( ?, j( M. I- |- j, `StarWars2 - CloneAttack.rm.scr
  Z" Y+ C4 P9 V; kIndustry Giant II.exe
, Z% e4 F. G' s7 i: o4 _DSL Modem Uncapper.rar.exe
joke.pif
, c: N  S% g: `# bBritney spears nude.exe.txt.exe
I am For u.doc.exe


/ P  A/ a0 D, o3 x9 T) L5 Q5 T# m20.掃瞄系統的WAB文件，Internet臨時文件夾，映射驅動器，以及內存，將自身通過收集到的郵件地址發送出去。

21.病毒遍歷所有硬盤分區以及內存，在擴展名是下列幾種的文件中收集E-mail地址：
.txt
: u: r4 x* {+ X( I. F* z. H.htm
5 ^; J: U, |& U0 F.sht
.php
.asp
.dbx
5 U: }0 f5 B& @% {6 N.tbb
( ~0 y# d0 q7 F1 b.adb
1 Z& ]9 T0 ?3 p' R4 h.pl
  U- R% a; {( c6 `$ @: i, e.wab
  W2 o5 a9 o8 T  Q! y
22.使用其自身攜帶的SMTP引擎，發送郵件
( v9 ~7 C0 r3 N% v% }郵件如下：
發送人: 發送人的姓名在病毒攜帶的列表裡隨機尋找一個

標題: 郵件的主題通常是下邊的一個:

0 g. s: A& _) m6 E: L8 etest
hi
- Q9 P% q! E# `0 ahello
6 }$ }5 U* E1 k6 ?: d8 k' ]9 D4 sMail Delivery System
Mail Transaction Failed
Server Report
Status
# A. W0 e# E2 d4 eError

- N9 q8 ?* z' p6 e6 K: x0 Y正文: 郵件內容通常是下邊的一個:
- O$ C4 U2 g  R' m
Its the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
$ j$ B$ j, R; M  Z; PThe message contains Unicode characters and has been sent as a binary attachment.
" m# k: v5 e  t0 P2 rMail failed. For further assistance, please contact!
) D" o7 s4 j9 Q- D! i4 d8 d- z; P
! {0 O% Y2 V3 T! H附件: 隨機創建文件名，並生成如下擴展名:

.exe
5 ]2 y7 m5 o! x! m.scr
.pif
$ Z2 A: x7 P- H.cmd
- I" N  x# D. l3 Y; ?. H8 T.bat
.zip
.rar

自己搜索的...
+ r5 C7 H" e4 ], C  J俺中這個病毒無數次...每次都頭大...

CENFANG--來自aisoho，應該是我們這裡的vip會員