|
Erkez
Erkez駭蟲透過mail方式大量散播病毒,使用者請小心,不要隨意執行來路不明的*.pif檔案
Erkez駭蟲會利用自己簡易的SMTP引擎大量發送病毒信件,並會嘗試經由P2P來散播病毒,並將病毒本身複製到系統上有share或upload的目錄夾內,以達到病毒散播的能力
基本介紹
| 病毒名稱 |
Erkez |
| 病毒別名 |
W32/Zafi.b@MM |
| 病毒型態 |
Worm , E-Mail |
| 病毒發現日期 |
2004/06/14 |
| 影響平台 |
Windows 95/98/ME , Windows NT/2000/XP/2003 |
風險評估
Erkez信件格式:
發信者: < 隨機 >
主旨: < 下列任一個 > Check this out kid!!! Ti e stata inviata una Cartolina Virtuale! Don`t worry, be happy! E-carte! Soxor Csok! Elektronicka pohlednice! Tessek mosolyogni!!! Er staat een eCard voor u klaar! You`ve got 1 VoiceMessage! Flashcard fuer Dich! Cartoe Virtuais! E-Kartki! Atviruka! E-postikorti! E-Postkort! E-vykort! Ecard! E-Kort! oKatya Importante! Ingyen SMS!
內文: < 下列任一個 > Informacion importante que debes conocer,
Mit hjerte banker for dig!
De cand te-am cunoscut inima mea are un nou ritm!
Till min Alskade...
Vakre roser jeg sammenligner med deg...
Iloista kesaa!
Linksmo gimtadieno! ha
W Dniu imienin...
Content: Te amo... ,
Hallo! hat dir eine elektronische Flashcard geschickt. Um die Flashcard ansehen zu koennen, benutze in deinem Browser einfach den nun folgenden link: http://flashcard.de/interaktiv/viewcards/view.php3?card=267BSwr34 Viel Spass beim Lesen wuenscht Ihnen ihr...
Hallo! heeft u een eCard gestuurd via de website nederlandse taal in het basisonderwijs... U kunt de kaart ophalen door de volgende url aan te klikken of te kopiren in uw browser link: http://postkaarten.nl/viewcard.show53.index=04abD1 Met vriendelijke groet, De redactie taalsite primair onderwijs...
Ahoj! Elektronick pohlednice ze serveru http://www.seznam.cz -
vous a envoye une E-carte partir du site zdnet.fr Vous la trouverez, l'adresse suivante link: http://zdnet.fr/showcard.index.php34bs42 www.zdnet.fr, plus de 3500 cartes virtuelles, vos pages web en 5 minutes, du dialogue en direct...
Ciao! ha visitato il nostro sito, cartolina.it e ha creato una cartolina virtuale per te! Per vederla devi fare click sul link sottostante: http://cartolina.it/asp.viewcard=index4g345a Attenzione, la cartolina sara visibile sui nostri server per 2 giorni e poi verra rimossa automaticamente.
Dear Customer! You`ve got 1 VoiceMessage from voicemessage.com website! Sender: You can listen your Virtual VoiceMessage at the following link: http://virt.voicemessage.com/index.listen.php2=35affv or by clicking the attached link. Send VoiceMessage! Try our new virtual VoiceMessage Empire! Best regards: SNAF.Team (R).
Ha ez a k=E9p sem tud felviditani, akkor feladom! Sok puszi:
Szia! Aranyos vagy, j=F3 volt dumcsizni veled a neten! Rem=E9lem tetszem, =E9s szeretn=E9m ha te is k=FClden=E9l k=E9pet magadr=F3l, addig is cs=F3k:
Attachment: "www.ecard.com.funny.picture.index.nude.php356.pif" Message: Hi Honey! I`m in hurry, but i still love ya... (as you can see on the picture) Bye - Bye:
Send me back bro, when you`ll be done...(if you know what i mean...) See ya,
------------------------ hirdet=E9s ----------------------------- A sikeres 777sms.hu =E9s az axelero.hu t=E1mogat=E1s=E1val =FAjra indul az ingyenes sms k=FCld=F5 szolg=E1ltat=E1s! Jelenleg ugyan korl=E1tozott sz=E1mban, napi 20 ingyen smst lehet felhaszn=E1lni. K=FCldj te is SMST! Neh=E1ny kattint=E1s =E9s a mell=E9kelt regisztr=E1ci=F3s lap kit=F6lt=E9se ut=E1n azonnal ig=E9nybevehet=F5! B=F5vebb inform=E1ci=F3t a www.777sms.hu oldalon tal=E1lsz, de siess, mert az els=F5 ezer felhaszn=E1l=F3 k=F6z=F6tt =E9rt=E9kes nyerem=E9nyeket sorsolunk ki! ------------------------ axelero.hu ---------------------------
附加檔案: < 下列任一個 > jennifer the wild girl xxx07.jpg.pif www.ecard.com.funny.picture.index.nude.php356.pif anita.image043.jpg.pif meztelen csajok fociznak.flash.jpg.pif link.voicemessage.com.listen.index.php1Ab2c.pif link.cartoline.it.viewcard.index.4g345a.pif link.zdnet.fr.ecarte.index.php34b31.pif link.seznam.cz.pohlednice.index.php2Avf3.pif postkaarten.nl.link.viewcard.index.phpG4a62.pif link.flashcard.de.viewcard34.php.2672aB.pif link.cartoe.viewcard.index.phpYj39.pif link.kartki.showcard.index.phpVg42.pif link.atviruka.showcard.index.phpGz42.pif link.postikorti.showcard.index.phpGz42.pif link.postkort.showcard.index.phpAe67.pif link.vykort.showcard.index.phpBn23.pif link.showcard.index.phpAv23.ritm.pif link.ekort.index.phpV7ab4.kort.pif view.link.index.image.phpV23.sexHdg21.pif link.informacion.phpV23.text.message.pif regiszt.php?3124freesms.index777.pif
Erkez 行為描述:
註:在Win95/98/me %System% 預設值為 C:\windows\System
在WinNT/2000/XP/2003 %System% 系統預設值為 C:\WinNT\System32
透過自己的SMTP大量發送病毒信件。
透病毒執行後,將駭蟲本身複製到%System%
jrbtgmqi.exe enfrbatm.dll
修改登錄檔,如此開機即會啟動駭蟲。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
名稱=<隨機>.exe 值=%system%\<隨機>.exe
修改登錄檔,產生新的值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\_Hazafibb
尋找系統中目錄名稱為share 或 upload 者,將駭蟲本身複製到此些目錄中,檔案為:
Total Commander 7.0 full_install.exe winamp 7.0 full_install.exe
|