从近期的几个流行病毒实例透析今后病毒的发展趋势.PDFVIP

大 会 雄 告 2·61 一一一一一一一一一-一一一一一- 从近期的几个流行病毒实例透析今后病毒的发展趋势 陈建民 陈飞舟 天津市公安局网监处 金山公司 一旦打开邮件的附件，该文档会被拷贝到C: 一、序言 \RECYCLED 目录下，接着病毒会复制自身到C: 数年来 CIH似乎己经成为病毒的一个代称。虽 \RECYCLED下，名为SirC32.exe，并创建以下键值: 然其间也出现过Mellisa,Happy99等比较 “另类”的 HKCR\exefile\shell\open\command\Default=C:\re- 病毒(利用脚本/宏编写，利用邮件传播)，但终究没 cycled\SirC32.exe%1%* 有引起人们的重视。但是随着互联网的普及，特别是 该键值使得所有exe文件运行时都加载该病 近期这些借助网络传播的全新概念的病毒大面积泛 毒。病毒还将自身复制到WindowsSystem目录下， 滥，并造成重大损失之后，开始引起人们对当今病毒 名为Scam32.exe,并修改注册表: 发展趋势的思考和对网络时代信息安全解决方案的 HKLM\Software\Microsoft\Windows\CurrentVersio 探索 n\RunServices\Driver32 =C:\WINDOWS\SYS- 正是基于此，我们依次分析了近期的六个流行 TEM\SCam32.exe使得每次系统启动后，自动执行该 病毒，观察其行为特征.比较其与以往病毒的不同， 蠕虫的主体部分。注册表修改成功后，病毒利用自己 分析其发展规律。希望以此能够探悉互联网时代病 特殊的SMTP给WINDOWS地址簿中的用户和IN- 毒行为的新特点和发展趋势。 TERNET缓存中能找到的所有邮箱地址发送带有病 毒附件的邮件。 二、病毒实例分析 病毒从 “我的文档”中，选择一个DOC,XLS或 [SirCam中文名:Cam先生 ZIP文件，将被选中的文件附在病毒文件后，再加上 该病毒通过邮件系统传播，病毒体附带一个随 第二个扩展名 (PIF,LNK,BAT,EXE,COM中的一 机的文件作为附件，附件的名称带有双扩展名，邮件 个)，并保存到.回‘收站”文件夹中，该文件将被病毒 的主体和附件名称都是不固定的，该病毒同时也通 用来向选中的EMAIL地址发送。病毒还创建以下键 过网络共享进行传播。 值:HKLM\Software\Sircam，用于存放相关的一些信 病毒特点:该病毒为一通过邮件系统传播的网 息，如蠕虫被执行的次数、发送者的邮件地址、SMTP 络蠕虫。病毒的主体长度为134K，但当它作为邮件 信息。 的附件时，因为将文档附加到病毒体上，所以长度要 该病毒也通过网络共享感染其它系统，一旦发 大些。 现可读写的网络邻居，就会将该系统Windows目录 带有病毒的邮件可能是英文或西班牙文的，邮 下的rund1132.exe用病毒的拷贝来替代，该文件被改 件的格式如下: 名为run32.exe。之后，批处理文件也被改动，增加了: 主题;〔无扩展名的文件名(随机))I @win\recycled\sirc32.exe以便每次系统启动时，蠕虫 附件:【与主体相同，但多了双扩展名] 都能被