蠕虫病毒Worm_Funny.A分析报告（2）

　　瑞星“MSN骗子”蠕虫病毒分析报告

　　瑞星反病毒专家提醒说，当用户收到QQ、MSN好友发来的可疑文件时，一定要先用最新版本的杀毒软件进行杀毒，版本16.47.30以上的瑞星软件可以彻底清除此病毒。此外，瑞星还发布了免费的“MSN骗子”病毒专杀工具，及“QQ病毒”的专杀工具。

　　一、病毒评估

　　1．病毒中文名：MSN骗子

　　2．病毒英文名：Worm.MSN.funny

　　3．病毒类型：蠕虫病毒

　　4．病毒危险等级：★★★★

　　5．病毒传播途径：QQ/MSN 即时通讯工具

　　6．病毒依赖系统：Windows 9X/NT/2000/XP

　　二、病毒的破坏

　　1．在Windows 2000/XP系统下，病毒会修改系统文件HOSTS，屏蔽937个网站，使用户登陆这些网站时会转向www.**78p.comwww.**78p.com，造成用户无法正常上网浏览。

　　2．在Windows 98系统下，病毒会替换系统文件Rundll32.exe，可能造成系统不能关机，进而崩溃。

　　3．利用MSN、QQ疯狂发送广告信息，诱骗用户登陆www.**78p.comwww.**78p.com网站。

　　4．向MSN、QQ好友发送“FUNNY.EXE”文件，传播自身。

　　三、技术分析

　　1．该病毒使用Visual Basic语言编写，用ASPack2.12加过壳。

　　2．运行后，病毒会把自己复制到WINDOWS目录下，病毒文件名为“Rundll32.exe”，再将自己拷贝几份到系统目录下，文件名分别为IEXPLORER.EXE，explorer.exe。

　　3．修改注册表实现随机自启动。

　　4．病毒运行之后，几个进程会同时运行，形成双进程保护，在任务管理器里很难结束。

　　5．向QQ、MSN好友发送“一家新开的酒吧，晚上聚聚，这里有介绍http://www.**78p.com,记得给我电话”，“朋友，多注意休息啊，可以到这里放松放松哦www.**78p.comhttp://www.**78p.com”，“我们也来俗一把如何，看MM去，http://www.**78p.com，够味！呵呵！”，“日本人在南京大屠杀的铁证!坚决抵制日货 http://www.**78p.com”，“对中国威胁最大的十个国家!列表http://www.**78p.com”，“我见过最漂亮的视频MM (不看可别后悔), http://www.**78p.com”，“《中国农民调查》页页血泪，惊动中央 转自网易,http://www.**78p.com”。

　　6．向MSN、QQ好友发送名为FUNNY.EXE的文件，这就是病毒。

　　7．如果用户使用WIN 2000/XP系统，病毒会修改HOSTS文件，屏蔽937个主流网站，使用户登陆这些网站时会自动转向http://www.**78p.com。

　　8．如果用户使用WIN 98系统，病毒会覆盖系统文件Rundll32.exe，可能导致系统异常。如果正在运行则不能正常关机，如果重启的话不能进入桌面，所有操作都不能进行。（待续）