“小邮差变种I”(Worm.Mimail.I)病毒档案

警惕程度：★★★★
发作时间：随机
病毒类型：蠕虫病毒
传播途径：邮件
依赖系统: WINDOWS 9X/NT/2000/XP

病毒介绍：
11月17日，瑞星全球反病毒监测网截获了恶性蠕虫“小邮差”病毒的最新变种：“小邮差变种I(Worm.Mimail.I)”，据了解，该病毒是“小邮差”病毒家族的第9个变种，该病毒变种并不象上几个病毒变种那样攻击某些网站，而是伪装成信用卡信息填写栏来骗取用户的信用卡信息，经常进行线上交易的用户要特别注意该病毒的动向，以免中招，给自己造成不必要的经济损失。

病毒运行后会释放出c:\pp.hta、c:\pp.gif两个病毒文件，并用运行其中的一个文件，这时就会出现一个假的信用卡信息填写栏，如果用户信以为真而填写上自己的信用卡信息的话，这些信息就会被病毒保存在c:\ppinfo.sys文件内，然后通过网络发送到病毒作者指定的信箱。另外该病毒会搜索用户电脑中的E-MAIL地址，向外发送标题为：“YOUR PAYPAL.COM ACCOUNT EXPIRES”，附件为：“www.***paypal.com.scr”的带毒邮件，使病毒在网上大量泛滥，导致网络阻塞。
  
病毒的特性、发现与清除：

1. 该病毒运行后首先将自己复制到system目录下路径为：%system32%svchost32.exe，用户可以在计算机中查找该病毒文件，找到后删除。

注意：%system32%一个变量，它是指它指的是NT操作系统安装目录中的系统目录，默认是：“c:\Winnt\system32”。

2. 病毒会修改注册表的自启动项：“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”，在其中添加：“SvcHost32”的病毒键值，用户可以利用REGEDIT等注册表编辑工具查找该病毒键值，找到后删除。

3. 病毒会放出c:\pp.hta和c:\pp.gif文件并用IE启动该hta文件，（该脚本为一个假的信用卡信息 填写栏），病毒还会利用该脚本把用户输入的信用卡信息记录到c:\ppinfo.sys文件内，用户可查找这几个文件，找到后删除。

4. 病毒会搜索：com. Wav. Cab. Pdf. Rar. Zip. Tif. Psd. Ocx. Vxd. Mp3. Mpg. Avi. Dll. Exe. Gif.jpg. Bmp这些类型的文件，在其中寻找有效的电子邮件地址，将这些地址记录到el388.tmp文件里。

5. 病毒会通过向外发送带毒邮件的方式来阻塞网络,
邮件标题为：
    YOUR PAYPAL.COM ACCOUNT EXPIRES
内容为：
    Dear PayPal member,PayPal would like to inform you about some important
information regarding your PayPal account. This account, which is
associated with the email address.
Will be expiring within five business days.  We apologize for any inconvenience
that this may cause, but this is occurring because all of our customers
are required to update their account settings with their personal information…
We are taking these actions because we  are
implementing a new security policy on
our website to insure everyone's absolute  privacy. To avoid any interruption in
PayPal
services then you will need to run the  application that we have sent with this
email (see attachment) and follow the instructions.  
Please do not send your personal information through email, as it will not be as
secure IMPORTANT! If you do not update your
information with our secure application
within the next five business days then we will be forced to deactivate your
account and you will  not be able to use your PayPal account any longer.
It is strongly recommended that you  take a few minutes out of your busy
day and complete this now…
DO NOT REPLY TO THIS MESSAGE VIA EMAIL!
This mail is sent by an automated message
system and the reply will not be received
           Thank you for using PayPal
附件名：
  www.***paypal.com.scr  ，如果用户收到有以上内容的邮件，请直接删除该邮件，不要运行附件。

---

欢迎光临 空网论坛 (http://bbs.kongweb.net/)

作者: 很久以前    时间: 2003-11-19 20:26