蠕虫创建多重替身 利用伪装术迷惑用户

guyou888

蠕虫创建多重替身　利用伪装术迷惑用户

来自：MACD论坛(bbs.macd.cn) 作者：guyou888 浏览：1552 回复：0

蠕虫W32.Korron.B可谓“功能”繁多，创建多重替身、善于伪装的特点令用户难以察觉。

病毒名称：W32.Korron.B

病毒类型：蠕虫

受影响的操作系统：Windows 2000/XP/Vista/NT、Windows Server 2003

病毒分析：

修改系统设置、替换特定文件、结束杀毒软件进程—W32.Korron.B蠕虫可谓“功能”繁多；创建多重替身、善于伪装的特点也令用户难以察觉该蠕虫在系统中的存在和危害。

W32.Korron.B入侵计算机后首先将自身拷贝多份，并分散存储在C盘不同的目录下，以试图避免被用户全部发现或者清除。该蠕虫在普通和安全模式下的注册表中创建新键值以便在两种模式启动时都能自动执行。同时，W32.Korron.B创建一系列注册表项以禁止启动Windows命令行提示、任务管理器和注册表编辑器，禁止Windows的系统还原功能，禁止显示隐藏文件，开启autorun等。接下来它会扫描受感染计算机上的所有可访问驱动器，将具有特定后缀的文件在先做备份后再替换为蠕虫自身。这些特定后缀包括：.bmp，.doc，.gif，.htm，.html，.jpg，.mp3，.pdf，.pps，.ppt，rar，.rtf，.txt，.xls，.zip等。另外，该蠕虫会试图结束与杀毒软件相关的进程，以及名字中含有它感兴趣关键字的进程。

W32.Korron.B主要通过可移动介质传播，蠕虫将自身拷贝到所有本地驱动器和可移动介质中，并创建对应的autorun.inf文件。

诺顿安全专家建议：

1.诺顿安全软件的“可移动介质扫描”功能会自动对连接至计算机的可移动介质进行监控，从而保护计算机免受外来病毒的入侵。

2.诺顿安全软件可防止自身文件被篡改或进程被中止，为计算机提供持续有效的防护。

3.禁用操作系统的“自动运行”功能。

4.没有安装安全软件的用户可以下载诺顿360（3.0版）、诺顿网络安全特警2009或诺顿防病毒2009试用版对病毒进行查杀。

5.使用诺顿2006版本及之后产品的现有用户，可以免费将产品升级至诺顿2009版本。

赛门铁克中国安全响应中心简介

赛门铁克中国安全响应中心于2008年2月成立于成都，与位于全球各地的安全响应**同协作，针对当前威胁和安全风险进行监控分析，主动识别并分析新型威胁，并作为中国互联网安全威胁现状的窗口，为本地以及全球用户提供更为强大的覆盖力度，从容应对新型威胁。

[ 本帖最后由 guyou888 于 2009-6-6 14:00 编辑 ]