基本介紹

風險評估

註：%Windir%代表系統所在目錄，在Win95/98/me系統預設值為 C:\windows

在WinNT/2000/XP/2003系統預設值為 C:\WinNT

• 此病毒會先透過port 445的LSASS漏洞入侵，再利用FTP去遠端電腦下傳病毒檔案到系統目錄執行。此時病毒會自動架設一個FTP server在port 5554以讓別台電腦可以下傳病毒本體，並開啟port 9996當後門，讓遠端電腦可以搖控。

• 病毒執行後，將駭蟲本身複製到%Windir%

avserve.exe 或avserve2.exe

• 植入後門程式在%Windir%\avserve.exe 或 avserve2.exe，開啟port 9996，使其可遠端操作感染者電腦。

• 修改登錄檔，如此開機即會啟動駭蟲。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

名稱=avserve.exe 值=\%Windir%\avserve.exe 或
名稱=avserve2.exe 值=\%Windir%\avserve2.exe

• 當開啟電腦時會自動啟動病毒，造成電腦重新開機。