流行病毒代码剖析 只要上网、收邮件、拷文件就有染上病毒的可能，而且网络上病毒天天新，让你防不胜防，现在向大家介绍几款新病毒的特征和防范及杀毒方法： 一、本·拉登病毒 本·拉登病毒。经分析研究，它有三大特征与两种传染方式。 本·拉登病毒的邮件具有如下特征：
1.通过搜索ICQ网站来取得邮件地址，使用匿名的方式采用SMTP协议发送带毒邮件。
2.该病毒利用了Outlook的MIME漏洞。当我们预览含有病毒邮件时，病毒邮件体内脚本w代码将被执行，如果计算机上所使用的Outlook浏览器存在该漏洞，计算机将被感染。
3.邮件带有一份名为BINLADEN_BRASIL.EXE的附件，该病毒的附件实际上是一个可执行的文件,但是该蠕虫设置成audio/x-wav的文件类型,因此当Outlook在收到该信件后，若Outlook存在漏洞的话，Outlook会认为该附件是一个声音文件而直接执行它。
本·拉登病毒感染部分的特征：
它有两种感染方式，第一种感染方式不变形，但把文件的入口地址改为0，修改MZ部分文件头，在“MZ”标记后面加上十六进制的EB 4A，它跟“MZ”一起，可以组成如下指令：
DEC EBP
POP EDX
JMP 40004E （注：此为相对跳转，是要跳到MZ头偏移4E出执行，如果文件基地址不是400000H，反汇编出来就不是40004E）
而在MZ头部偏移4E的位置，病毒还会加上一些代码，使之能跳到后面的病毒体中去运行，该后部分病毒体未加密，未变形。
第二种感染方式不修改MZ头，但使用了一种特殊的变形技术，它将所有的病毒体代码都变换生成变形后的代码，使人无法静态分析。病毒的变形代码将解码后的代码放入堆栈，最后跳入堆栈运行！实际上，在堆栈中的病毒代码和第一种感染方式的后部分代码是一样的。另外，病毒需要在文件中找一些指令（558BEC83EC)，然后，病毒修改它为相对的CALL调用，以便使自己获得控制权。
无论第一种感染方式还是第二种感染方式，病毒都会检查文件的信息：查询文件长度，如果小于24576字节或者(文件长度-7)/101能整除，就不进行感染。另外，如果文件的节表不正常，病毒也不进行感染。
注意：由于病毒感染文件时，没有对齐文件，所以感染后的文件在WinNT、Win2K、WinXP下很可能不能运行（系统提示非法的Win32程序），当然，经过杀毒后，文件可以恢复正常。
二、伪装成安全补丁的Gigger病毒
在你没有订阅相关的邮件列表，却突然收到一封主题为“Outlook Express安全补丁”的邮件，可要注意了！你收到的只是Gigger病毒伪装成的补丁而已。
这个名叫js.gigger.a@mm的新病毒是用Javascript写成的，大小为17K左右，它会在被感染系统上利用Windows Scripting Host自动执行。此病毒会通过Outlook地址簿中的联系人及mIRC聊天工具进行自我传播，而且还能借助本地网络感染其他计算机。一旦深中此毒，不仅会堵塞邮件服务器，更为严重的是，它会在你重启机器试图格式化你的硬盘！
病毒特征：
病毒邮件主题为“Outlook Express Update”或为收件人的邮件地址，正文是“MSNSofware Co.”或者“Microsoft Outlook 98.”，附件为mmsn_offline.htm。
一旦用户不慎执行了附件，该病毒就会在电脑的根目录下创建两个文件：
Bla.hta
B.htm
同时还会在以下目录创建不同的文件：
C:\Windows\Samples\Wsh\Charts.js
C: \Windows\Samples\Wsh\Charts.vbs
C: \Windows\Help\Mmsn_offline.htm
改注册表也是此类病毒的一贯技俩：
HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting Host\Settings\Timeout
HKEY_CURRENT_USER\Software\TheGrave\badUsers\v2.0
同时添加NAV DefAlert 到以下注册表键中：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Run
更为恶毒的是，病毒最后会在批处理文件autoexec.bat中添加“ECHO y|format c:”命令，懂DOS命令的用户都知道，这是一条不显示命令行本身的格式化命令，也就是说，当用户重新启动计算机时，该病毒可以不动声色地执行格式化命令，令用户损失惨重！
病毒通过mIRC传播是通过它创建的script.ini文件来执行的，当被感染机器与网络相连时，它还会创建病毒副本，伺机传染。
病毒查杀
第一，关掉Windows Scripting Host，防患于未然；第二，不要执行附件；第三，用正版杀毒软件扫描。
三、“快乐时光”病毒
最近，一种名为“Happy Time快乐时光”的网络蠕虫病毒横行肆虐，下面来具体介绍一下清除方法。
用户的计算机一旦感染“Happy Time”，只要将鼠标箭头移至带有“Happy Time快乐时光”病毒体的邮件名上，不必打开就会受这种病毒的感染，感染后的现象是计算机运行速度非常慢，还有一些机器的“超级解霸”的播放面板不断打开，但不播放任何内容，直至打开的程序将资源耗尽而死机。
解决办法：
1.在Windows“开始”菜单下选择“运行”，运行Regedit，找到“Hkey_Current_User\Identities\{AECF6CA3-9614-4AF4-AEF2-CT63FE9D97A4}\Software\Microsoft\Outlook Express\5.0\Mail”
其中有三项:
(1)Message Send Html=“1”
(2)Com Pose Use Stationery=“1”
(3)Stationery Name=“C:\\Windows\\Untitled.htm”
将其键值删除即可。
然后用同样方法将
Hkey_Current_User\Control Panel\Desktop中Wallpaper=“C:\\WINDOWS\\HELP.HTM”键值删除。
2.在Windows的“开始”菜单中运行“win.ini”，将其中的“Wallpaper=“等号后的键值删除。
3.运行最新版的KV3000或KVD3000查杀硬盘，杀毒过程中如果出现“Help.vbs;help.hta;untitled.htm”等文件提示“删除”选择“Y”即可。
4.查完毒后，最好安装最新的KVW3000来加强防范。
5.将WSH（Windows Scripting Host）功能去掉可以预防此类病毒的侵害。
步骤是：
1.单击“开始/设置/控制面板”
2.双击“添加/删除程序/Windows安装程序/附件”
3.将“组件”中的“Windows scripting host”所占空间1.1MB的“选择划勾”去掉，然后选“确定”即可。
四、“I love u”病毒
别名：VBS/LoveLetter.A
这个名为“我爱你”的病毒是通过Microsoft Outlook电子邮件系统传播的，邮件的主题为“I LOVE YOU”，并包含一个附件。一旦在Microsoft Outlook里打开这个邮件，系统就会自动复制并向地址簿中的所有邮件地址发送这个病毒。它可以改写本地及网络硬盘上面的某些文件。用户机器染毒以后，邮件系统将会变慢，并可能导致整个网络系统崩溃。
“爱虫”病毒的袭击对象并不是普通的计算机用户，而是那些具有高价值IT资源的电脑系统：美国国防部的多个安全部门、中央情报局、英国国会等政府机构及多个跨国公司的电子邮件系统都遭到过袭击。
病毒技术特征：
VBS/LoveLetter.A 是一个基于 e-mail 的VBS（Visual Basic Script）蠕虫，它以一个电子邮件的附件到达你的邮箱，邮件的主题是 ILOVEYOU（全大写，无空格）。
e-mail的正文：请尽快查收来自我的邮件附件的LOVELE-TTER。
e-mail 带有名为 LOVE-LETTER-FOR-YOU.txt.vbs的附件。.VBS扩展名是否显示，依赖于系统的设置。
LoveLetter蠕虫通过产生如上所述的e-mail传播，蠕虫自身作为邮件的附件，且发送给在Outlook通讯簿中的所有收件人。在大的机构中，产生的大量e-mail可能会使电子邮件服务器超载，处于瘫痪状态。
LoveLetter蠕虫传播的目标是Windows 98, 缺省安装的Windows 2000 和Windows NT 4.0 以及安装了Windows Scripting Host(WSH)引擎的Windows 95系统。蠕虫使用不同的名字将自身复制到多重子目录中：
在Windows目录中的文件名是Win32DLL.vbs，在\Windows\system目录中的文件名为MSKernel32.vbs 和 LOVE-LETTER-FOR-YOU.txt.vbs。
LoveLetter蠕虫修改注册表信息，以便它在下次启动时能运行：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run\MSKernel32=
C:\WINDOWS\SYSTEM\MSKernel32.vbs
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\RunServices\Win
32DLL=C:\WINDOWS\Win32DLL.vbs
蠕虫还设置缺省的IE（Internet Explorer）主页，下载WIN_BUGFIX.exe 文件的一个副本，该文件看起来是一个“后门服务器”（backdoor server）。该文件在Web上真实的位置目前是关闭的。
可执行文件将被安装和重命名，以便在启动系统时也能运行：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curre
ntVersion\Run\WinFAT32=C:\WINDOWS\SYSTEM\WinFAT32
LoveLetter蠕虫搜索所有的子目录，并用自身的副本覆盖（overwrite）扩展名为JPG, VBS, JS, JSE, CSS, WSH, SCT, HTA, MP3和MP2 的所有文件，给无VBS（non-VBS）后缀的文件名添加VBS扩展名。如：一个名为Satisfaction.MP3的文件将变为Satisfaction. MP3.VBS。下一次染毒文件被点击或被激活，蠕虫将开始传播。
如果IRC（在线聊天系统）客户在系统中出现，LoveLetter 蠕虫将产生一个HTML文件，将自身发送到IRC通道中。
病毒清除
要清除被感染的系统，必须删除所有发现的带毒文件，而且必须删除以上提及的所有注册表中的键值。
五、新蠕虫病毒MyLife.b的预防及清除方法
W32/MyLife.b@MM是一个大量地向Outlook地址簿中的收件人地址发送带毒电子邮件的电子邮件蠕虫病毒，同时生成%SYSTEM%\cari.scr文件，而且病毒还会删除C:\, D:\, E:\和F:\根目录下所有文件和所有.sys, .vxd, .ocx和.nls文件！
注意：%SYSTEM%指的是Windows的系统目录，Win9x/Me下是\Windows\System，Win2000/NT下是\WinNT\System32。
带毒的电子邮件格式如下：
标题：bill caricature
内容：
Hiiiii
How are youuuuuuuu?
look to bill caricature it‘s vvvery verrrry ffffunny :-) :-)
i promise you will love it? ok
buy
========No Viruse Found========
MCAFEE.COM
--------------------------------------------------------
附件：cari.scr（大小为11,524字节）
当运行该文件后，病毒就会生成就会生成%SYSTEM%\ cari.scr，并显示以下图像：

图1

接着病毒就会修改注册表启动项：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
win = "%SYSTEM\cari.scr"
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
win = "%SYSTEM%\cari.scr"
这样，在系统每次启动的时候，病毒都会被激活。
接着病毒就大量的发送带毒的电子邮件，并删除C:\, D:\, E:\和F:\根目录下所有文件和所有.sys, .vxd, .ocx和.nls文件！而且这些删除的文件都不能被恢复了。
预防方法：
1.升级反病毒软件；
2.通过设置邮件软件，拒收上述邮件内容的电子邮件；
3.即使收到带毒的电子邮件，千万不能打开邮件的附件，请尽快将之删除。
紧急清除方法：
1.尽快删除所有的带毒电子邮件；
2.重起进入安全模式，删除%System%\cari.scr，并删除注册表启动项中病毒的启动项；
3.被病毒删除的文件只能重新拷贝或安装了。
六、新邮件蠕虫病毒W32/Porkis@MM
邮件病毒W32/Porkis@MM有其自带的SMTP引擎，也会利用系统默认的SMTP服务器来向地址簿中的收件人发送带毒邮件，达到病毒传播的目的。不过，该病毒在英语/美语的操作系统上运行时，无法发送带毒邮件。
病毒邮件信息如下：
主题：
‘Divertimento assicurato‘ 或,
‘Leggete urgentemente questa e-mail (se avete tempo da perdere)‘ 或,
‘Storielle‘
来自: <>
附件:
49,664 字节的可执行文件(没有打包),文件名为：
PORKIS.EXE 或,
PIPPO.EXE 或,
BAR.EXE
病毒一旦运行，会弹出一系列意大利语的对话框，比如，第一个对话框如下：

图2

而且，它会在Windows目录下生成文件DLLMGR.EXE，并修改注册表运行键：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\_
Run "Dll Manager" = C:\WINDOWS\DLLMGR.EXE
在系统重启后的一会儿，病毒会偿试连接系统默认的SMTP服务器（从注册表中获取），之后将自身发送至Windows地址簿中的所有收件人。但如上所述，若在英语\美语的操作系统上 ，它无法与SMTP服务器连接，因而不能够发送成功。
中毒迹象：
中毒后会出现文件：
C:\WINDOWS\DLLMGR.EXE (49,664 字节)
传染方式：
此病毒运行后感染受害用户的机器，并在Windows目录下生成病毒副本，同时修改注册表使得在系统重启时病毒能自动运行。然后向地址簿中的所有收件人发送带毒邮件。
七、专攻Word的宏病毒现形
最近，一种专门征对Word设计的宏病毒W97M/Pacol.a出现了。该病毒最早发现于菲律宾，可以感染Word 97及Word 2000文档，是一个文件感染型病毒，无须通过感染标准模板而直接感染别的文档。
病毒特征：
W97M/Pacol.a可将Word的安全级别设置为“低”，并创建以下文件：
c:\Windows\startm~1\programs\startup\winword.bat
**Windows启动并执行了下面两个文件后，该批处理文档自动执行。
c:\Windows\winword.reg **包含了修改注册表安全级别设置的代码
c:\Windows\normal.doc **此为受病毒感染的Word模板文档
接下来病毒会在硬盘与网络驱动器中搜索Word文档（.doc）并覆盖之，其后会搜索所有的.txt、.wri、.pdf文件并覆盖，同时删除原文件，并将这些文件的后缀名改为.doc。
当病毒成功感染文件时，Office助手会出现如下图所示的画面：

图3

因此，不难得出结论，打开一个受感染的文件会导致整个儿硬盘（或网络）中的相关文档受感染。病毒通过隐藏自身的文档与网络传播。
中毒迹象：
打开电脑，查找这三个文件，若存在，则表明中毒：
c:\Windows\startm~1\programs\startup\winword.bat
c:\Windows\winword.reg
c:\Windows\normal.doc
另一迹象是Windows启动完毕，Word Application自动打开，且有上图所示的画面弹出来。
防杀方法：
1.请用正版杀毒软件清除。
2.在MS Office中禁用宏。
3.下载升级包Office 2000 updates与安全补丁。
（金霸）