大无级变种D(Worm.Sobig.d)病毒档案
知识库编号: RSV0512277
内容分类: 蠕虫病毒
关键词: 大无级;sobig.d
适用操作系统:Windows 操作系统
适用操作系统补丁版本:全部补丁适用
大无级变种D(Worm.Sobig.d)病毒档案
病毒评估
警惕程度:★★★☆
发作时间:随机
病毒类型:蠕虫病毒
传播方式:局域网/邮件
感染对象:邮件
依赖系统: WIN9X//NT/2000/XP
病毒介绍
大无极变种D(Worm.SoBig.d)病毒于2003年6月19日被瑞星全球反病毒监测网截获,该变种是大无极病毒家族的第4代成员,在病毒编写技术上虽然同上几代病毒区别不大,但鉴于大无极变种B版和C版等变种已经在网络上小范围泛滥,如果不及时防范,该变种病毒很可能会使系统再次面临被病毒感染的威胁。
病毒特性
一、拷贝身到windows目录
病毒会将自身拷贝到%Windir%目录中(默认为:c:\windows或c:\winnt),并命名为: Cftrb32.exe,然后建立两个配置文件: dftrn32.dat 、rssp32.dat。
二、 修改注册表自启动
病毒运行时会修改注册表的自启动项:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,在其中添加一个名为:"SFtrb Service",内容为:"%Windir%\cftrb32.exe"的键值,当系统重启时,病毒便会自动运行。
三、感染局域网中的计算机
当计算机连接在网络中时,病毒便会通过计算机连接,将自身拷贝到局域网中的其它计算机中的:Windows\All Users\Start Menu\Programs\StartUp 目录和Documents and Settings\All Users\Start Menu\Programs\Startup目录,当局域网中被感染的计算机重启时,病毒便会自动运行,在局域网中的其它计算机中激活。
四、通过邮件传播
病毒运行时还会搜索计算机中的.wab 、.dbx 、.htm 、.html 、.eml 、.txt类型的文件,在其中寻找有效的邮件地址,找到后,便生成病毒邮件,向外大量发送。
病毒邮件的标题为以下几种可能:
Re: Documents
Re: App. 00347545-002
Re: Movies
Application Ref: 456003
Re: Your Application (Ref: 003844)
Re: Screensaver
Re: Accepted
Your Application
病毒邮件的附件为以下几种可能:
Document.pif
app003475.pif
movies.pif
ref_456.pif
Application844.pif
Screensaver.scr
Accepted.pif
Applications.pif
Application.pif
解决方案
1、瑞星杀毒软件15.40.11以上的版本可以彻底清除此病毒。
2、下载“大无级”(Worm.Sobig)病毒专杀工具进行查杀,下载链接地址
http://it.rising.com.cn/service/technology/SoBig_download.htm