20CN网络安全小组论坛 - 病毒专区 - 最新病毒警告：I-Worm.Galil

论坛: 病毒专区标题: 最新病毒警告：I-Worm.Galil

作者: fqjpower [fqjpower]

论坛用户

I-Worm.Galil
这是一个通过电子邮件附件传播的蠕虫病毒。该蠕虫包括几个用Visual Basic编写的EXE可执行文件组件。

主文件："iLLeGaL.exe"，约81K
传播组件： "Mplayer.exe"，约14K（经UPX压缩，解压后37K）
SMTP 控制："SMTP.ocx"，约26K（经UPX压缩，解压后90K）

安装

运行蠕虫主文件时，会将自身及其组件复制到系统中。安装过程中，蠕虫主文件以“iLLegGaL.exe”复制到Windows系统目录，其他组件也安装在相同的目录中。“Mplayer.exe”组件将注册到注册表的自动启动项中：

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
iLLeGaL = %SystemDir%\Mplayer.exe

蠕虫然后显示一个Flash动画和如下信息：

Sorry !
Looooooooool , thanx fo da time u spent thinkin ov me

传播

蠕虫读取染毒机器的MS Outlook地址簿，并搜索.HTM和.HTML文档中的电子邮件地址。蠕虫通过直接连接邮件服务器发送染毒邮件。

染毒邮件信息：

主题： Fwd: Crazy illegal sex !
正文：随机选择 C: 盘中的一个文件
附件："iLLeGal.exe" or "illegalSex.zip"

仅在用户点击染毒附件病毒才会激活，然后在系统中安装蠕虫，进行传播并体现病毒行为。

病毒行为

蠕虫在系统注册表中新建一个注册键（计数器）： HKLM\iLLeGal

每次蠕虫程序启动，计数器会增加数值。当计数器值为5时，蠕虫将删除D:、 E: 、F: 、G: 驱动器上的所有文件，并显示下列信息：

ZaCker
No Peace Without war,i hate war but im forced to love it,Hidden Power's gonna b there whereverur。

[此贴被如风(fqjpower) 在 12月20日11时12分编辑过]

地主发表时间: 2002-12-20 11:42:12