邮件病毒：W32.Bancorkut@mm 分析

邮件病毒：W32.Bancorkut@mm

根据光华反病毒研究中心专家介绍，W32.Bancorkut@mm 是个邮件病毒，长度 283,136 字节，感染 Windows 98, Windows XP, Windows Me, Windows Vista, Windows NT, Windows Server 2003, Windows 2000 系统。它利用邮件传播，下载有害程序并执行、收集信息。当收到、打开此病毒时，有以下危害：
    
    A 创建文件 windows目录\avgsh.exe
    B 它利用系统数据库引擎漏洞 http://www.securityfocus.com/bid/26468 执行
    C 创建以下注册表项，使得病毒每次开机后自动执行
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"AVGShield" = "％Windir％\avgsh.exe"
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"MSMSGS" = "％Program Files％\Messenger\msmsgs.exe /background"
    D 搜索以下文件中的邮件地址
    .dbx
    .wab
    .mbx
    .eml
    E 搜索MSN联系人中的邮件地址
    F 监视IE窗口打开
    G 从www.orkut.com网址中搜索邮件地址
    H 从www.terra.com中搜索用户口令
    I 将搜索到的内容发送到以下地址
    http://maejoana.byethost13.com/Listas/aaa
    http://maejoana.byethost13.com/Listas/bbb
    http://maejoana.byethost13.com/Listas/ccc
    http://maejoana.byethost13.com/Terras/save
    J 从以下地址下载有害文件并执行
    http://feliznatal.rbcmail.ru/terra
    http://feliznatal.rbcmail.ru/orkut/orkut
    http://feliznatal.rbcmail.ru/orkut/orkut1
    http://feliznatal.rbcmail.ru/orkut/assun
    K 向搜集到的地址发送病毒邮件
    来自: Orkut Seu Profile foi Denunciado
    主题：[空]
    内容: Motivo:
    Você está infectado(a) por algum Malware/Vírus.
    Seu perfil está enviando mensagens ilí [已删除] rá apagado.
    Orkut.com (c) 2008 - Google.com.br e seus fornecedores. Todos os direitos reservados.
    L 打开邮件时，从以下地址下载病毒并执行
    http://74.254.144.200/SHARE1/AO/Common/glori[已删除]
    http://www.ecologia-domestica.org/uploads/thumbs/glori[已删除]
    http://outthegarage.com/_private/glori[已删除]
    http://www.baixa.la/arquivos/6225814_i[已删除]
    http://www.baixa.la/arquivos/7082416_i[已删除]
    http://www.baixa.la/arquivos/6645328_i[已删除]
    http://www.baixa.la/arquivos/7028030_i[已删除]
    http://www.baixa.la/arquivos/7565219_i[已删除]
    http://www.baixa.la/arquivos/5141602_i[已删除]
    http://www.baixa.la/arquivos/27441_im[已删除]
    http://www.baixa.la/arquivos/1007857_i[已删除]
    http://www.baixa.la/arquivos/3526042_i[已删除]
    http://www.baixa.la/arquivos/7615191_i[已删除]
    http://www.baixa.la/arquivos/2609498_i[已删除]
    http://www.baixa.la/arquivos/6556335_i[已删除]
    
    光华反病毒软件已经对这种病毒进行了处理，请使用光华反病毒软件清除；如果未装光华而感染不能重启，可使用光华反病毒光盘启动后杀毒，恢复系统。