0
Worm.SoBig.E
大无极变种E(Worm.SoBig.E)病毒档案
知识库编号： RSV0512278
内容分类： 蠕虫病毒
关键词： 大无级;sobig.e
适用操作系统：Windows 操作系统
适用操作系统补丁版本：全部补丁适用
大无极变种E(Worm.SoBig.E)病毒档案
病毒评估
警惕程度：★★★★
发作时间：随机
病毒类型：蠕虫病毒
传播方式：邮件/局域网
感染对象：局域网
依赖系统: WIN9X//NT/2000/XP?
病毒介绍
Worm.SoBig.E于2003年6月26日被瑞星全球反病毒监测网截获，该病毒是目前大无极病毒家族中最厉害的一个变种，其传播范围与传播速度都超过了其它变种。病毒运行后会将自身复制到系统目录下，并修改注册表进行自启动。然后感染局域网中的计算机，将自己放入启动目录，导致全网带毒，病毒还会搜索用户的mail地址，向外大量发送邮件，使网络瘫痪。
病毒的发现与清除
此病毒会有如下特征，如果用户发现计算机中有这些特征，则很有可能中了此病毒：
1.病毒运行时会将自身拷贝到：%Windir%\目录下命名为：winssk32.exe，然后在该目录下建立一个名为msrrf.dat的病毒配置文件。用户可以查找计算机，找到这两个文件后将之删除。
注意：%Windir%是一个变量，它指的是系统安装目录，默认是：“C:\Windows”或：“c:\Winnt”,也可以是用户在安装操作系统时指定的其它目录。
2.病毒运行时会修改注册表的自启动项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，在其中加入名称为：SSK Service， 内容为： %Windir%\winssk32.exe的键值，以便下次系统启动时病毒能自动运行。用户可以用REGEDIT工具，将该病毒键值直接删除，使病毒无法启动。
3.病毒运行时会在内存中产生一个名为：winssk32的线程。NT以上操作系统的用户可以用任务管理器直接将该进程杀掉，9X操作系统的用户则只能用第三方软件如PROCVIEW等杀掉该病毒进程。
4.病毒会搜索局域网中的计算机，如果发现有默认共享的计算机，则病毒会将自身拷贝到这些计算机中的：Windows\All Users\Start Menu\Programs\StartUp、Documents and Settings\All Users\Start Menu\Programs\Startup目录中。用户可以检查一下这些目录，看是否存在上面提到的病毒体，如果有则可以直接清除。
5.病毒会搜索磁盘中的*.web,*.txt,*.dbx*.htm,*.html及*.eml文件，并从中提取出mail地址进行邮件传播，
邮件的发信人可能为：support@yahoo.com
邮件的标题可能为：
· Re: Application
· Re: Movie
· Re: Movies
· Re: Submitted
· Re: ScRe:ensaver
· Re: Documents
· Re: Re: Application ref 003644
· Re: Re: Document
· Your application
· Application.pif
· Applications.pif
· movie.pif
· Screensaver.scr
· submited.pif
· new document.pif
· Re: document.pif
· 004448554.pif
· Referer.pif
邮件的附件可能为：
·your_details.zip
·application.zip
·document.zip
·screensaver.zip
·movie.zip
没有安装杀毒软件的用户如果收到这样的邮件，则可以直接删除这此邮件。
用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了大无极变种E(Worm.SoBig.E)病毒。
解决方案
1、瑞星杀毒软件15.41.20以上的版本可以彻底清除此病毒。
2、下载“大无级”（Worm.Sobig）病毒专杀工具进行查杀，下载链接地址http://it.rising.com.cn/service/technology/SoBig_download.htm
知识库编号： RSV0512278
内容分类： 蠕虫病毒
关键词： 大无级;sobig.e
适用操作系统：Windows 操作系统
适用操作系统补丁版本：全部补丁适用
大无极变种E(Worm.SoBig.E)病毒档案
病毒评估
警惕程度：★★★★
发作时间：随机
病毒类型：蠕虫病毒
传播方式：邮件/局域网
感染对象：局域网
依赖系统: WIN9X//NT/2000/XP?
病毒介绍
Worm.SoBig.E于2003年6月26日被瑞星全球反病毒监测网截获，该病毒是目前大无极病毒家族中最厉害的一个变种，其传播范围与传播速度都超过了其它变种。病毒运行后会将自身复制到系统目录下，并修改注册表进行自启动。然后感染局域网中的计算机，将自己放入启动目录，导致全网带毒，病毒还会搜索用户的mail地址，向外大量发送邮件，使网络瘫痪。
病毒的发现与清除
此病毒会有如下特征，如果用户发现计算机中有这些特征，则很有可能中了此病毒：
1.病毒运行时会将自身拷贝到：%Windir%\目录下命名为：winssk32.exe，然后在该目录下建立一个名为msrrf.dat的病毒配置文件。用户可以查找计算机，找到这两个文件后将之删除。
注意：%Windir%是一个变量，它指的是系统安装目录，默认是：“C:\Windows”或：“c:\Winnt”,也可以是用户在安装操作系统时指定的其它目录。
2.病毒运行时会修改注册表的自启动项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，在其中加入名称为：SSK Service， 内容为： %Windir%\winssk32.exe的键值，以便下次系统启动时病毒能自动运行。用户可以用REGEDIT工具，将该病毒键值直接删除，使病毒无法启动。
3.病毒运行时会在内存中产生一个名为：winssk32的线程。NT以上操作系统的用户可以用任务管理器直接将该进程杀掉，9X操作系统的用户则只能用第三方软件如PROCVIEW等杀掉该病毒进程。
4.病毒会搜索局域网中的计算机，如果发现有默认共享的计算机，则病毒会将自身拷贝到这些计算机中的：Windows\All Users\Start Menu\Programs\StartUp、Documents and Settings\All Users\Start Menu\Programs\Startup目录中。用户可以检查一下这些目录，看是否存在上面提到的病毒体，如果有则可以直接清除。
5.病毒会搜索磁盘中的*.web,*.txt,*.dbx*.htm,*.html及*.eml文件，并从中提取出mail地址进行邮件传播，
邮件的发信人可能为：support@yahoo.com
邮件的标题可能为：
· Re: Application
· Re: Movie
· Re: Movies
· Re: Submitted
· Re: ScRe:ensaver
· Re: Documents
· Re: Re: Application ref 003644
· Re: Re: Document
· Your application
· Application.pif
· Applications.pif
· movie.pif
· Screensaver.scr
· submited.pif
· new document.pif
· Re: document.pif
· 004448554.pif
· Referer.pif
邮件的附件可能为：
·your_details.zip
·application.zip
·document.zip
·screensaver.zip
·movie.zip
没有安装杀毒软件的用户如果收到这样的邮件，则可以直接删除这此邮件。
用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了大无极变种E(Worm.SoBig.E)病毒。
解决方案
1、瑞星杀毒软件15.41.20以上的版本可以彻底清除此病毒。
2、下载“大无级”（Worm.Sobig）病毒专杀工具进行查杀，下载链接地址http://it.rising.com.cn/service/technology/SoBig_download.htm
