又一個走偏門的人——佣金中國註冊IDCenfang

W32.Lovgate.R@mm（別名lovgate.w）病毒檔案

8 d$ k6 q" M. M9 r* }9 c; N. P: b
0 c  w) f0 x3 @2 N- ]6 [% |別名：Win32/LovGate.AB.Worm, W32/Lovgate.R@mm (F-Secure), I-Worm.LovGate.w (Kaspersky), WORM_LOVGATE.W (Trend), W32/Lovgate.x@MM (McAfee)

9 n/ ?" o! c2 f0 G% dW32.Lovgate.R@mm 病毒運行後，執行如下過程：
/ U1 \8 u0 d: V, N+ S' X) ?1.把自身複製成如下文件：
%Windir%\Systra.exe
%System%\Hxdef.exe
  m0 Z, \3 u  F$ f2 R) r: K%System%\iexplore.exe
* |0 j, U; `4 N8 C%System%\RAVMOND.exe
%System%\Kernel66.dll(設置成隱藏，只讀的系統屬性)
. _0 N" i1 e* `%System%\WinHelp.exe
4 y+ X4 J' D! r. |: t% S1 `; D* 缺省情況下Windows　NT/2000System文件夾為C:\Winnt\ System32, XP下為C:\Windows\System32
8 P4 ?/ J) e1 f' X2 t( G2 Z5 J
: y8 U. ~, M3 T, h; j5 e2.創建下列文件：
6 G/ n% N2 @8 F  s  X4 g- ~* e　%System%\ODBD16.DLL(53,760 bytes)
%System%\Msjdbc11.DLL(53,760 bytes)
+ q9 A" {8 L8 w0 }%System%\MSSIGN30.DLL(53,760 bytes)
, i5 Q# w; s' o
. y0 J) O( V/ v  h: X/ T%System%\NetMeeting.exe(61,440 bytes)
%System%\spollsv.exe(61,440 bytes)

3.在病毒所在文件夾下，可能創建如下文件：
a
* V( B- ~" K5 Z8 u$ K# m6 hresults.txt
- w, g' o- K5 W+ ewin2k.txt
winxp.txt

4.病毒修改註冊表：
　1).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 下添加如下鍵值確保自身在系統運行後啟動：
4 Q* i1 ^* D1 U3 q$ p9 W. r& U"Hardware Profile"="%System%\hxdef.exe"
"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
"Program in Windows"="%System%\IEXPLORE.EXE"
9 l8 }9 F) D! d"Proteced Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
"Shell Extension"="%System%\spollsv.exe"
* J, ]3 M/ o' R9 N3 ]% W"VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSING30.DLL ondll_reg"
"WinHelp"="%System%"\WinHelp.exe
　
  `: ?( t8 C6 |0 ]+ h! V# t2).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 下添加如下鍵值將自身設為服務(Windows 95/98/Me下)：
! }- k2 Y1 I2 x6 T" l"SystemTra"="%Windir%\Systra.exe"
5 L. W# j5 |# x" g, e9 i6 ~7 U
  l4 I0 \5 l7 h1 g& l3).在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 下添加如下鍵值使得(NT/2000/XP)系統啟動時，病毒同時運行：
' x$ K. k5 P* y! }9 `9 x0 j, W"run"="RAVMOND.exe"
) {1 J  @' \" Z8 v$ o% L
4).創建子鍵：
3 U" v6 v" m4 Z& oHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1

7 L2 _  _) t4 D7 ]" T; F+ J. Q5.停止如下服務：
) q0 H, l' F6 Q* s3 d! B) C$ FRising Realtime Monitor Service
Symantec Antivirus server
; l6 G% E4 I+ x8 K# H- ~Symantec Client

6.創建關聯"Rundll32.exe msjdbc11.dll ondll_server"的服務："Windows Management Protocol v.0(experimental).","_reg"

' a# A5 F6 P1 b" ?! |6 A7.終結包含如下字符串的所有進程(很明顯，病毒想停止殺毒程序的進程)：
9 e0 ^0 W) l4 P$ rKV
KAV
4 T1 t0 ]9 x; U1 v1 hDuba
NAV
3 P& z! ~4 f, t4 @& A9 y; Pkill
( s& y$ A7 c+ v1 E& W1 [; SRavMon.exe
Rfw.exe
$ _+ m  Z. B1 K; q' E4 FGate
( V) V- K) t- E3 B5 P+ RMcAfee
Symantec
6 r5 }! o+ P' e8 f3 e$ qSkyNet
2 M8 }7 o3 h4 D" d* W1 B: Xrising
$ x5 J+ p& D! a- r& c
' o# ^9 o* {6 l& \( x8.在6000端口上運行後門程序，該程序收集機器的系統信息保存到C:\Netlog.txt中，並將其發送至攻擊者。

9.以如下形式將自身拷貝到所有網絡共享文件夾及其子文件夾下：
WinRAR.exe
3 }) _; Y  `8 }2 A* z( q! Z, u% }Internet Explorer.bat
5 X; A( |- b, D4 D5 BDocuments and Settings.txt.exe
Microsoft Office.exe
; `% \. D" z( _Windows Media Player.zip.exe
9 y6 U0 h: E" _" MSupport Tools.exe
WindowsUpdate.pif
Cain.pif
) p3 E  \, b5 k8 NMSDN.ZIP.pif
, w2 J6 D' }( u7 z8 T3 J/ p0 l+ hautoexec.bat
: ^# L  |0 Z; N0 V+ l7 {findpass.exe
client.exe
i386.exe
/ I2 K$ t( S  q, N; j- [3 y" ewinhlp32.exe
' Y: S" S; t7 r! k8 J, sxcopy.exe
1 A- E6 p/ |# G8 ~# Emmc.exe

8 n: I! \: b9 L2 b10.掃瞄本機所在局域網，以"Administrator"作為賬號，並用如下字符串作為口令試探登陸其他機器：
Guest
7 B5 n  J; i+ o- P% q# vAdministrator
.....
*如果沒有設置密碼，病毒同樣會用"Adimistrator"登陸遠程機器
8 J) z1 S! Y" R% D7 [( X5 b& i
: C/ v0 {9 U) o! k3 [% q11.如果病毒能夠成功登陸遠程機器，它會嘗試將自身複製到\\<remote computer name>\admin$\system32\NetManager.exe，並把文件"Windows Management NetWork Service Extensions."設為服務

12.向Explore.exe或者Taskmgr.exe中注入線程，如果線程發現病毒程序沒有運行，或者已經被刪除，它會嘗試拷貝自身並運行。

13.在隨機端口打開FTP服務，並且不加認證，這也意味著被感染的機器已經向所有人開放。

14.創建一個網絡共享"Media"，指向"%Windir%\Media"
8 L& k6 A# S" L( Q/ g
' ~5 G; t8 M7 Y" {! q* r$ n3 n) ]7 W- }15.在所有硬盤分區(不包括A,B)的根目錄下創建壓縮文件：<filename>.<ext>。
( A2 K" w5 T7 N/ J* Z, j1 I<filename>通常是如下中一個：
  g: o9 W  q+ ^WORK
" F, m8 G9 q  C6 n8 |! a- M0 l, ^- ?setup
Important
- T& l$ K6 P. a+ X$ w2 zbak
" }: {- H& t; O8 Sletter
) \1 G6 |1 z/ i( D; z6 X& a+ D9 wpass
" N) o5 B) I' X; _) g6 `
<ext>通常是RAR或者ZIP

( I0 E+ {8 h8 K, u( g該壓縮包中包含一份病毒的備份文件，文件名為<filename>.<ext>
<filename>通常是如下中一個：
- z$ N' }$ ~! \1 G6 U# t7 dWORK
setup
Important
book
email
PassWord

. l+ W2 u/ Z( W. h* Y<ext>通常是exe,com,pif,scr

16.在所有分(不含CD-ROM分區)的根目錄下創建文件Autorun.inf，並將其拷貝為該文件夾下的Command.com
6 }5 \- J" w( E/ b% S# y. Z1 ?5 W*如果雙擊該圖標，病毒將被運行．

17.病毒掃瞄所有硬盤分區，一旦發現分區屬於移動硬盤，映射驅動器或者分區號超過E，則病毒將執行如下操作：
3 |8 Z. v3 C7 w  k9 d* E嘗試將所有擴展名為.exe的文件其擴展名改成.zmx
將這些文件的屬性設成「隱藏」和「系統」
將自身拷貝為原始文件名
0 i3 T, _0 b0 J; o1 w. o: T例如：病毒發現文件temp.exe，它將把文件更名為temp.zmx，並將自己的一個拷貝改名為temp.exe
) {* p( i9 [5 j8 T" I3 M) Y" z! H
18.通過DCOM RPC漏洞(基於TCP協議的135端口)，嘗試攻擊其他機器

% r6 @( w* f* T) d' B4 W3 i  ?9 [19.通過各種郵件客戶端程序(包括OE)，回復郵箱裡的所有來信
, z' c0 {+ D; ^0 I/ O# |例如： 原始郵件如下：
9 s8 U, c4 S. `8 \1 G  X- W$ CSubject: <subject>
. _- W/ p" M5 @) t* E1 H4 uFrom: <someone>@<somewhere.com>
Message: <original message body>

病毒嘗試發送如下郵件：
+ R8 c% Q/ G' r& ?% OSubject: Re: <subject>
% A* C  J) y4 u8 ]& @To: <someone>@<somewhere.com>
8 h/ e% G$ r1 }1 bMessage:
<someone> wrote:
" P7 I  A) M2 N, E====
> <original message body>
>
. h) B% m) c5 G0 _1 k====

; z4 y  O/ w9 \6 Y5 e! _- l<senders domain> account auto-reply:
後邊通常是：
If you can keep your head when all about you
Are losing theirs and blaming it on you;
If you can trust yourself when all men doubt you,
But make allowance for their doubting too;
If you can wait and not be tired by waiting,
Or, being lied about,dont deal in lies,
! C3 ?4 ?1 {; fOr, being hated, dont give way to hating,
1 ^* T+ H' X3 @( J6 h7 u# u4 IAnd yet dont look too good, nor talk too wise;
' e8 n: [. j3 |( O. b) K... ... more look to the attachment.

> Get your FREE <senders domain>now! <

4 f7 J. f8 Q" n: N附件通常是下邊中的一個：
9 c' F, b" P3 ithe hardcore game-.pif
Sex in Office.rm.scr
! B" M9 O, B# l3 RDeutsch BloodPatch!.exe
s3msong.MP3.pif
! G' ]) n, N: u4 HMe_nude.AVI.pif
3 w  G- p$ U% ]0 ^6 C3 p: HHow to Crack all gamez.exe
Macromedia Flash.scr
  ]- Z. A0 Y+ c5 C) b- wSETUP.EXE
Shakira.zip.exe
dreamweaver MX (crack).exe
3 c/ C* v; J( u/ @  B. A) B# H# wStarWars2 - CloneAttack.rm.scr
& W( D8 w6 I) k! CIndustry Giant II.exe
: l2 s( \" P( N- UDSL Modem Uncapper.rar.exe
, G# ~. O) R; s  Mjoke.pif
Britney spears nude.exe.txt.exe
) |( ~. s( {2 D6 Q) [I am For u.doc.exe
3 w' Y+ R+ o8 R+ q9 n/ a1 y2 z' X
1 u0 ~, b; `: C+ e1 J% O/ ^
20.掃瞄系統的WAB文件，Internet臨時文件夾，映射驅動器，以及內存，將自身通過收集到的郵件地址發送出去。
1 J2 \9 D. l9 n8 m" l$ h4 h& S
1 h1 B3 a2 h2 {1 [) t0 `9 v* ^5 Q21.病毒遍歷所有硬盤分區以及內存，在擴展名是下列幾種的文件中收集E-mail地址：
.txt
.htm
% Z$ E8 ?; o5 X/ s  X.sht
( }) r9 e. b% C+ |5 k7 p+ w- |.php
.asp
( d/ K3 k1 C. S( K.dbx
6 ~5 `, Y' p1 v) N" Q, F.tbb
.adb
.pl
.wab
6 n& y5 a4 M) C. o2 Z$ }
22.使用其自身攜帶的SMTP引擎，發送郵件
: @9 \1 k; Z) r# w  v郵件如下：
發送人: 發送人的姓名在病毒攜帶的列表裡隨機尋找一個
  ^% s, V3 \6 u2 U4 v7 a! H
) @2 ]( a: [; W" o( r! t標題: 郵件的主題通常是下邊的一個:
0 @. @  G1 q+ D5 j0 T8 C/ X; \
, J6 A7 F' B& I+ \, m1 Z8 J( ztest
1 `, T, i) K; q. r7 J. J6 ihi
8 [% {/ Q, o3 \8 x" \hello
7 H2 z  a, a0 j- J+ |$ vMail Delivery System
Mail Transaction Failed
Server Report
# `9 I$ E" x) f7 _3 m: gStatus
Error
5 A2 U2 y2 P) @- ~! R6 @& {
正文: 郵件內容通常是下邊的一個:

3 ~; w6 x/ U1 G) V, ^  zIts the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
The message contains Unicode characters and has been sent as a binary attachment.
4 E6 K8 a( o: j4 i$ P# ]Mail failed. For further assistance, please contact!
' k- e2 j3 t, a2 F2 H1 s% J" E0 l
附件: 隨機創建文件名，並生成如下擴展名:

9 o. e2 c' q( F* D.exe
. x$ d6 n+ M4 w' ^.scr
.pif
1 w4 S% P$ ]3 V2 d- ].cmd
.bat
.zip
% K* K% P* {1 @$ m' A& T. o$ l1 n/ H.rar

自己搜索的...
! G! Z2 R1 i0 w3 \& S3 d# f俺中這個病毒無數次...每次都頭大...

CENFANG--來自aisoho，應該是我們這裡的vip會員