论坛: 病毒专区 标题: sys.exe是什么病毒 复制本贴地址    
作者: wcy81123 [wcy81123]    论坛用户   登录
机器里自动生成这个了东西

地主 发表时间: 05-10-18 05:06

回复: 三色阳光 [zch001]   论坛用户   登录
病毒名称:Word文档杀手(Worm/DocKiller)
  病毒类型:蠕虫
  病毒大小:53248字节
  传播方式:网络

  2004年6月17日,江民反病毒中心截获“Word文档杀手”蠕虫病毒(Worm/DocKiller)。该病毒运行后会搜索软盘、U盘等移动存储磁盘和网络映射驱动器上的Word文档(*.doc)文件,并用试图用自身覆盖找到的Word文档,达到传播的目的,同时也破坏了原有文档的数据。病毒还会在计算机管理员修改用户密码时进行键盘记录,记录结果也会随病毒传播一起被复制。

  具体技术特征如下:

  1. 病毒运行后,将在用户计算机中创建以下文件:

  c:\windows\system\sys.exe, 53248字节,病毒程序。
  %SystemDir%\sys.exe, 53248字节,病毒程序
2.在注册表中添加下列启动项:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
“EXPLORER” = “%SystemDir%\sys.exe”

  这样,在Windows启动时,病毒就可以自动执行。
3.病毒运行后会显示下面的对话框:



  4.病毒一旦发现用户运行了“Windows任务管理器”, 立即终止运行。这样可以避免自身进程被用户发现。

  5.遍历从“A”到“Z”的所有盘符,并搜索软盘、U盘等可移动存储设备和网络映射驱动器上的Word文档(*.doc)文件。一旦发现了Word文档,病毒会用自身覆盖原文档,造成用户文档数据被破坏。由于病毒在复制过程中使用和原文档相同的文件名,其程序图标也是Word文档图标,

  所以该病毒隐蔽性较强。建议用户在打开上述位置的Word文档前,查看文件大小和文件版本属性,“Word文档杀手”病毒的特征如下:

  病毒大小:53248字节
  版本属性:
  [公司]  = “Clone Software”
  [内部名称] = “我的文档”
  [源文件名] = “我的文档.exe”
  一旦发现与病毒特征相符的文件,千万不要双击运行。

  6. 病毒在管理员进行修改用户帐号密码的操作时还会进行键盘记录,并把记录的密码和被感染的机器名保存在名为“mmwj<%s>.sys”的文件中,其中<%s>是被感染计算机的名称。这些保存密码的文件也会被病毒复制到软盘、U盘和网络驱动器上。

  江民公司提醒广大用户,应对自己的Word文档及时备份,尽量避免使用可移动设备互相复制文档,在共享包含Word文档的文件夹时尽量不要设置可写权限。

  针对该病毒,江民公司已经在第一时间升级。请您立即升级到6月18日病毒库,即可全面查杀该病毒,保护您的系统和文档数据不受其侵害。


来源于江民杀毒官方网.        转载:三色阳光

B1层 发表时间: 05-10-18 11:42

论坛: 病毒专区

20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写:NetDemon

粤ICP备05087286号