taong

蠕虫程序Worm.Win32.Small.rl

病毒名称
Worm.Win32.Small.rl

捕获时间

2007-12-27

病毒症状

　　该程序是使用VC编写的蠕虫程序，采用FSG加壳方式试图躲避特征码扫描，加壳后长度为2,349字节，使用Windows默认可执行文件图标，扩展名为exe，主要通过网页木马、文件捆绑和移动存储介质方式传播。

病毒分析   

　　该程序被激活后，拷贝自身到%systemroot%\system32目录下，重命名为systime.exe，修改文件属性为只读、隐藏和系统；
　　修改注册表启动项以达到随系统一起启动的目的；
　　通过修改注册表键值使病毒文件隐藏；
　　修改系统时间使部分杀毒软件不能正常运行；
　　访问恶意网站将其它病毒程序下载到本地%systemroot%\system32目录下，命名为netapi.exe、qqapi.exe并运行；
　　遍历盘符在移动存储介质中释放隐藏病毒文件systime.exe和autorun.inf，通过Windows自动播放功能来使病毒传播。


感染对象
Windows 2000/Windows XP/Windows 2003


传播途径

网页木马，文件捆绑，移动存储介质

技术细节

病毒添加的注册表信息：
项：HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
键值：system
指向文件：%systemroot%\system32\systime.exe

项：HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\
键值：CheckedValue
指向变量：0

木马下载地址如下：
http://***.banjing365.com/gezi.exe
http://***.banjing365.com/qqapi.exe