MyDoom最新变种AB分析报告（1）

　　金山毒霸报道：9月17日，金山毒霸反病毒实验室应急处理中心截获“MYDOOM”的最新变种AB。根据金山毒霸监测网的分析，该病毒会通过ICQ和指定网站传播，大量的邮件服务器已经收到该病毒发送的大量病毒邮件，请各位广大用户提严防该病毒的侵害。　

　　以下是该病毒的详情：

　　病毒信息：

　　病毒名称: Worm.Mydoom.AB
　　 中文名称: 诺维格变种AB
　　 威胁级别: 二级
　　 病毒别名: I-Worm.Mydoom.y[AVP]
　　 发现日期: 2004.09.17

　　病毒简介：

　　A、该病毒会把自身复制到windows目录下并以服务的形式随计算机启动而运行.；
　　 B、通过修改注册表禁止使用注册表工具(regedit)；
　　 C、修改hosts文件使用户无法登录一些安全或反病毒公司主页；
　　 D、通过ICQ发送带毒链接来传播自身；
　　 E、从指定的网站下载后门木马到用户机器上；
　　 F、结束用户机器上的反病毒软件的进程；
　　 G、向外发送大量的带毒邮件,而造成网络堵塞

技术特点：

　　1、把自己复制到%SystemRoot%services.exe

　　2、修改注册表:

　　A.Win9x:
　　 在注册表主键"HKLM\SOFTWARE\ Microsoft \Windows\CurrentVersion\Run"下，
　　 添加如下键值："serv"="%SystemRoot%services.exe"

　　B.Win2000/xp:
　　 创建服务:
　　 服务名: NetBios Ext
　　 显示名称: NetBios Ext
　　 执行路径: %Windir%\services.exe serv
　　 启动类型: Automatic

增加HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\Type = "0x10"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\Start = "0x2"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\ErrorControl = "0x1"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\ImagePath =
"%SystemRoot%\services.exe serv"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\DisplayName = "NetBios Ext"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\Security\Security
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBios Ext\ObjectName = "LocalSystem"

　　3、修改注册表项

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies
\DisableRegistryTools = "0x0"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies
\DisableRegistryTools = "0x0"

　　4、修改%System%\drivers\etc\hosts文件,使用户不能正常登录反病毒相关网站

127.0.0.1 www.avp.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 www.symantec.com
127.0.0.1 networkassociates.com
127.0.0.1 secure.nai.com
127.0.0.1 downloads1.k asp ersky-labs.com
127.0.0.1 downloads2.kaspersky-labs.com
127.0.0.1 downloads3.kaspersky-labs.com
127.0.0.1 downloads4.kaspersky-labs.com
127.0.0.1 downloads-us1.kaspersky-labs.com
127.0.0.1 downloads-eu1.kaspersky-labs.com
127.0.0.1 kaspersky-labs.com
127.0.0.1 workassociates.com/">www.networkassociates.com
127.0.0.1 us.mcafee.com
127.0.0.1 f-secure.com
127.0.0.1 avp.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.f-secure.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 update.symantec.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 viruslist.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 updates.symantec.com
127.0.0.1 kaspersky.com
127.0.0.1 www.trendmicro.com （待续）