• 正在加载中...
  • “求职信L版”病毒

    “求职信L版”病毒(英文Worm.Klez.L)是一种体内包含大量加密字符串的蠕虫病毒。该病毒由于能提升自身的运行级别,使得一般程序无法结束或访问它的进程,包括Windows自带的任务管理器而导致无法手工清除。

    编辑摘要

    目录

     

    简介/“求职信L版”病毒 编辑

    “求职信L版”病毒“求职信L版”病毒
      Worm.Klez.L是种蠕虫病毒,病毒体内包含大量加密字符串。由于此病毒能提升自身的运行级别,使得一般程序无法结束或访问它的进程,包括Windows自带任务管理器。因此无法手工清除此病毒。
       

    特性/“求职信L版”病毒 编辑

     病毒在得到运行后,首先提升自身的运行级别,然后将自己复制到Windows系统目录下, 文件名总以Wink开头,同时还会放出一个小病毒体(Win32.Foroux.exe),最后分别运行它们并退出。当病毒被自己再次运行时,它会发现自身已处于系统目录下,此时病毒运行线路发生改变,它不再复制自身,而是创建7个病毒线程,并以系统服务的形式驻留内存。病毒的7个线程分别完成以下任务。
       
        (1) 遍历所有进程,杀掉对它有威胁的进程。稍后再作详细介绍。
        (2) 在本地硬盘搜索一些著名杀毒软件的数据文件,发现后立即后删除,导致它们无法运行。
        (3) 感染注册表中某些已登记安装了的软件,例如Explorer,WinZip,WinRAR,OutLook等,因为这些软件比较常用,可保证病毒被激活。
        (4) 搜索网络邻居中的可写文件夹,并将病毒体复制到其中,以便扩大传染面积。
        (5) 通过自带的SMTP客户端程序向用户地址簿的地址发送带毒邮件。邮件标题多为吸引人的标题。例如Christmas , Hope等。此邮件在老版本系统上会自动执行附件。
        (6) 将小病毒体释放到Program File目录中,文件名随机,并启动此小型病毒体(Win32 Foroux).病毒Win32 Foroux是个典型的文件型病毒,启动后即开始全盘感染可执行文件。由于病毒会识别受Win2K,WinXP的系统认证保护的文件,所以在病毒感染系统目录时,不会引起警报对话框。
        (7) 在Windows的Internet临时文件夹中搜寻对它有威胁的文件,找到后立即删除。从而阻止用户上网升级或下载对付它的程序。

    病毒新增特点

        Worm.Klez.L的最大特点在于其抑制杀毒软件的能力大为提高,甚至包括一些著名病毒(它的早期版本),只要是阻碍Worm.Klez.L传播的软件它都不放过。它通过注册表和内存两方面破坏这些软件。
        在启动时,它会遍历应用程序登记的安装路径。只要发现含有以下字符串,立刻删除所对应的键值。
        _AVP32  _avpcc  NOD32  NPSSVC  NRESQ32  NSCHED32
        NSCHEDNT  NSPLUGIN  NAV  NAVAPSVC  NAVAPW32  NAVLU32
        NAVRUNR  NAVW32  _AVPM  ALERTSVC  AMON  AVP32
        AVPCC  AVPM  N32SCANW  NAVWNT  ANTIVIR  AVPUPD
        AVGCTRL  AVWIN95  SCAN32  VSHWIN32  F-STOPW  F-PROT95
        ACKWIN32  VETTRAY  VET95  SWEEP95  PCCWIN98  IOMON98
        AVPTC  AVE32  avconsol  FP-WIN  DVP95  F-AGNT95
        CLAW95  NVC95  SCAN VIRUS  LOCKDOWN2000  Norton
        Mcafee  Antivir  TASKMGR
        这些字符串几乎覆盖了世界上所有的杀毒软件。

        当病毒驻留内存后,病毒体内的一个线程不停地搜寻其他进程,只要在其一个模块中搜到以下一个字符串,立刻结束其运行。
       
        Nimda(尼姆达) CodeRed(红色代码) WQKMM3878(Klez) GRIEF3878
        Fun Loving Criminal Norton(诺顿) Mcafee Antivir
        Avconsol F-STOPW F-Secure Sophos
        Virus(最常见) AVP Monitor (AVP) AVP Updates(AVP) InoculateIT
        PC-cillin(趋势) Symantec(诺顿) Trend Micro(趋势) F-PROT
        NOD32
        更可恶的是Worm.Klez.L还把此进程所对应的程序文件也给删除了。 由于杀毒软件和某些工具的代码块或数据块中常包含此类字符串。并且病毒每次轮询的间隔只有64毫秒(加上搜索的时间也不过几秒)。在它之后启动的杀毒软件在点杀毒按钮前就已被干掉。以至于无法带毒杀毒。
       
        有趣的是病毒作者在其病毒体内还特意留下了一大段吹嘘自己病毒的语句:
        Klez.E is the most common world-wide spreading worm.It's very dangerous by corrupting your files.Because of its very smart stealth and anti-anti-virus technic most common AV software can't detect or clean it.We developed this free immunity tool to defeat the malicious virus.You only need to run this tool once,and then Klez will never come into your PC.NOTE: Because this tool acts as a fake Klez to fool the real worm,some AV monitor maybe cry when you run it.If so,Ignore the warning,and select 'continue'If you have any question,please mail to me.
        Win32 Klez V2.01 & Win32 Foroux V1.0
        Copyright 2002,made in Asia About Klez V2.01:
        1,Main mission is to release the new baby PE virus,Win32 Foroux
        2,No significant change.No bug fixed.No any payload.
        About Win32 Foroux (plz keep the name,thanx)
        1,Full compatible Win32 PE virus on Win9X/2K/NT/XP
        2,With very interesting feature.Check it!
        3,No any payload.No any optimization
        4,Not bug free,because of a hurry work.No more than three weeks
        from having such idea to accomplishing coding and test
    中文翻译如下:
        Klez.E是最常见的全球性传播蠕虫。因其在隐秘和反反病毒技术方面的高度智能,使得它在破坏你的文件时十分危险。绝大部分的反病毒软件不能够发现或者清除它。我们开发这种免费的免疫工具用以对抗恶性病毒。你只需要运行一次这种工具,Klez就再也不会进入你的个人电脑。
        注意:因为这个工具以虚拟一个Klez的方式来欺骗真正的蠕虫,所以一些反病毒实时监控可能会在您运行它时发出警报。如果这样,跳过这个警告,并选择‘continue’。如果你仍有问题,请与我mail联系。
        Win32 klez 2.01版和 Win32 Foroux 1.0版
        Copyright 2002,made in Asia
        关于Klez 2.01版
        1、主要任务是发表一个新的子PE病毒:Win32 Foroux
        2、没有重大变化,没有修改Bug,没有任何表现模块
        关于Win32.Foroux
        1、完全兼容于Win9X/2K/NT/XP等操作系统的Win32 PE病毒
        2、没有任何表现模块,没有任何优化;
        3、未释放Bug---是因为从有这个想法到完成编码及测试仅用了不超过3周时间就匆匆完成

        作者虽然把Klez说成是个良性病毒,可以免疫其他病毒.但事实上它会删除你的文件, 并且它所谓的免疫只是把带有Nimda,Sircam,CodeRed等字符串的进程杀死,这种方法根本无法阻止其它病毒的传染(就连这3种都不彻底)。


        病毒的清除
       
        此病毒会删除杀毒软件的主程序,以至于用户无法升级杀毒软件,所以采用瑞星专杀版本是比较有效的方法
    ,瑞星专杀版本文件名不固定,也可保证不含有敏感字符串,即使包含病毒识别的字符串,由于瑞星专杀版本的运行速度很快,在病毒发现它以前,病毒已被它杀掉,所以不怕此类病毒。
       

    添加视频 | 添加图册相关影像

    互动百科的词条(含所附图片)系由网友上传,如果涉嫌侵权,请与客服联系,我们将按照法律之相关规定及时进行处理。未经许可,禁止商业网站等复制、抓取本站内容;合理使用者,请注明来源于www.baike.com。

    登录后使用互动百科的服务,将会得到个性化的提示和帮助,还有机会和专业认证智愿者沟通。

    互动百科用户登录注册
    此词条还可添加  信息模块

    WIKI热度

    1. 编辑次数:5次 历史版本
    2. 参与编辑人数:5
    3. 最近更新时间:2013-03-24 06:11:11