病毒信息：

病毒名称: Worm.Supnot.u

中文名称: 恶邮差变种U

威胁级别: 3A

病毒别名: 别名[瑞星]

密码杀手 [江民]

病毒类型: 蠕虫、后门

受影响系统:Win9x/Win2000/Winnt/WinXP/Windows Server 2003

技术特点：

· 病毒破坏：

1、传送大量病毒邮件阻塞网路和邮件伺服器；

2、释放后门病毒

病毒将在系统中殖入远程后门代码，该代码，将回响远程恶意用户tcp请求建方一个远程

shell进程。（win9x为command.com，NT,WIN2K,WINXP为cmd.exe），可以对本地机器进行完

全控制。

3、释放通过QQ传播的病毒：“Win32.Troj.QQmsgSupnot”

该病毒通过传送诱惑信息导致用户上当，从而中毒，详情请参考该病毒报告。

4、病毒变向感染执行档

病毒可能会将EXE档案改名为ZMX档案，并设定属性为“隐藏”和“系统”，如：病毒搜寻到

一个名为“Winword.exe”的档案，会将其改名“Winword.zmx”并设定属性“隐藏”和“系

统”，然后释放一个名为“Winword.exe”的病毒複本。

这个功能的条件是：病毒运行后，每隔一小时会检查系统中是否有“网路映射驱动器”和

“可移动驱器”，如果有，侧会进行上述变相的档案感染。

· 发作现象：已分享资料夹会塞满此蠕虫的档案，一般容易辨认

· 系统修改：

A、自我複製到

%SYSDIR%\\IEXPLORE.EXE

%SYSDIR%\\kernel66.dll

%SYSDIR%\\RAVMOND.exe

%SYSDIR%\\SysBoot.EXE

%SYSDIR%\\WinDriver.exe

%SYSDIR%\\winexe.exe

%SYSDIR%\\WinGate.exe

%SYSDIR%\\WinHelp.exe

%DRIVER%\\SysBoot.exe

B、病毒将释放一个DLL档案，此档案将在系统中殖入远程后门代码

%SYSDIR%\\reg678.dll

%SYSDIR%\\Task688.dll

病毒将释放一个利用QQ传送讯息传播的病毒:"Win32.Troj.QQmsgSupnot"，相关档案名称目录为：

%SYSDIR%internet.exe

%SYSDIR%svch0st.exe

C、添加以下键值

HKEY_CLASSES_ROOT\\exefile\\shell\\open\\command

(默认) : %SYSDIR%\\WINEXE.EXE "%1" %*

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"WinGate initialize" = "%SYSDIR%\\WINGATE.EXE -REMOTESHELL"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"WinHelp" = "%SYSDIR%\\WINHELP.EXE"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"Remote Procedure Call Locator" = "RUNDLL32.EXE REG678.DLL ONDLL_REG"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"Program In Windows" = "%SYSDIR%\\IEXPLORE.EXE"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\RunServices

"SystemTra" = "%WINDIR%\\SYSTRA.EXE /SYSTRA:KERNEL32.DLL"

在win9x下还修改系统档案：

WIN.INI

[WINDOWS]

"RUN" = "RAVMOND.EXE"

在win2k、NT、XP下注册服务：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ll_reg

Display Name = "ll_reg "

IMAGEPATH = "RUNDLL32.EXE TASK688.DLL ONDLL_SERVER"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Windows Management Instrumentation Driver Extension

Display Name = "Windows Management Instrumentation Driver Extension"

IMAGEPATH = "%SYSTEM%\\WINDRIVER.EXE -START_SERVER"

病毒也将在每一个硬碟和可移动盘的根目录下建立一个档案：AUTORUN.INF的档案，内容为：

[AUTORUN]

Open="%DRIVER%:\\SysBoot.EXE" /StartExplorer

其中%DRIVER%为相应的驱动器。

这样在用户打开该驱动器后将运行病毒

D、Windows弱口令密码试探攻击、放出后门程式、盗取密码

E、病毒利用mapi及搜出的email地址，对收信箱里的邮件进行回复（传播）。

邮件标题随机从病毒体内选出

F、当病毒被运行后每隔一定时间传送一次通知邮件给位于163.com的一个信箱,邮件内容为中毒系统的ip地址，以便利用病毒的后门进行控制

解决方案:

· 进行升级：

金山公司将于3月12日当天进行升级，该天病毒库可以彻底查杀此病毒，推荐到安全模式查杀；

· 使用专杀工具：

用户也可以到http://www.duba.net/download/3/28.shtml免费下载恶邮差专杀工具，并进行该

病毒的清除，推荐到安全模式查杀。

· 手动清除：

该病毒手工清除比较困难，建议使用防毒软体或专杀工具，推荐到安全模式查杀。

注意：如果您的机器上有“可移动磁碟”和“网路映射驱动器”时，请注意搜寻所有的

“*.zmx”档案，找到后请将其后缀改名为exe。推荐使用专杀工具来清除，可以自动恢复被病

毒改名的正常档案。