您现在的位置: 首页 > 病毒库 > 蠕虫病毒
Win32.Netsky.P
发布时间:2004-12-27 18:43:00
病毒名称:Win32.Netsky.P
其它名称:ZIP.Netsky.P
病毒属性:蠕虫病毒 危害性:中等危害 流行程度:
具体介绍:

Win32.Netsky.P是一种通过邮件和对等网的共享传播的蠕虫病毒。病毒是大小为29,568字节的可执行文件,用FSG(脱壳工具)压缩,并会建立一个26,624字节的DLL文件。病毒经常是以ZIP文件的方式来传播自己。
病毒建立的DLL文件中是病毒的代码。
当病毒运行时它建立一个叫"'D'r'o'p'p'e'd'S'k'y'N'e't'",的互斥体,来确保同时只有一个Netsky.P在运行。

病毒拷贝自己到:
%Windows%\ FVProtect.exe
病毒会把代码解密,然后写到:
%Windows%\userconfig9x.dll
病毒首先执行DLL文件的第一个功能。然后DLL文件就会继续执行。

病毒修改注册表来使自己能在WINDOWS启动时自动启动:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Norton Antivirus AV = "%Windows%\FVProtect.exe"
DLL会建立另外一个互斥体"_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_".它会建立许多其他文件来传播自己:

■ %Windows%\base64.tmp
......
■ %Windows%\zip3.tmp

注释:’%windows%’是一个可变的目录。蠕虫根据被感染机器的操作系统决定当前的系统文件夹。默认情况下, WIN2000和NT的安装位置是C:\WINNT ;95,98和ME的是c:\windows;xp的是c:\windows.

传播方式:
通过邮件传播
病毒利用自己的SMTP引擎发送邮件。邮件的发件人地址和收件人地址都使用搜索到的邮件地址,或者发件人地址使用lola@sexnet.com.

Netsky.P可以用不同的主题,内容,附件名来构造一个邮件。邮件主题从下边这些里边选择:
Re: Encrypted Mail
Re: Extended Mail
......
important
read it immediately
邮件内容从这个列表里选择:
Please confirm my request.
......
You have received an extended message. Please read the instructions.
内容的后边可能会加上下边的内容:
+++ Attachment: No Virus found
......
++++ Norton AntiVirus - www.symantec.de可能的附件名:
message
......
readme
当附件是个可执行文件的时候,附件名可能是带一个或者两个扩展名。如果是两个扩展名的话,那么第一个扩展名是.txt或者.doc
最后的扩展名是:
.pif,.exe,.scr
两个扩展名之间会有多个空格。
当附件是个ZIP文件时,那么附件的扩展名是.ZIP.文件名是:
document.txt .exe
data.rtf .scr
details.txt .pif
病毒会在附件名的后边加上"_"。比如,当发送给tester@domain.com时,那么附件名是"msg_tester.zip".
下边是个例子:
主题:
Mail Delivery (failure )

内容:
If the message will not displayed automatically,
......
www./inbox//read.php?sessionid-
附件:
message.scr
邮件的内容是HTML文件,当查看附件后,附件就会运行。详细资料请查阅:
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
下边是个 蠕虫生成的邮件的例子:

为了收集邮件地址,Netsky.P 搜索驱动器C到Z中以下扩展名的文件,但是不搜索光驱:
adb
......
vbs
wab
病毒会避免搜索带以下后缀的地址:
@microsof
......
reports@

通过文件共享传播
在搜索邮件地址的过程中,Netsky.P会查找共享目录,比如通过KAZAA共享的文件。
病毒会用以下名字拷贝自己到这些目录:



蠕虫用会尝试使用本地的DNS服务器来决定目标地址的邮件服务器地址。如果病毒没能使用DNS服务器,那么它会在自己带的一个列表里查找:
12.82.159.180
......
kazaa
shared files
在每个匹配的目录里,病毒会用以下文件名把自己拷贝进去:
he Sims 4 beta.exe
......
Kazaa Lite 4.0 new.exe

危害:
病毒会移除以下由别的 蠕虫产生的注册表键值:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Explorer
......
HKLM\System\CurrentControlSet\Services\WksPatch

清除:

kill版本: