又一個走偏門的人——佣金中國註冊IDCenfang

W32.Lovgate.R@mm（別名lovgate.w）病毒檔案

! D* o! m( v" X/ c
別名：Win32/LovGate.AB.Worm, W32/Lovgate.R@mm (F-Secure), I-Worm.LovGate.w (Kaspersky), WORM_LOVGATE.W (Trend), W32/Lovgate.x@MM (McAfee)
& @9 _- R; Y" i/ {+ m, D( o
W32.Lovgate.R@mm 病毒運行後，執行如下過程：
1.把自身複製成如下文件：
%Windir%\Systra.exe
( Y1 c3 z7 I$ }: b! f  y; W) a# s%System%\Hxdef.exe
%System%\iexplore.exe
%System%\RAVMOND.exe
2 }6 ]& u4 v  G( n9 h%System%\Kernel66.dll(設置成隱藏，只讀的系統屬性)
7 V2 h1 n+ y& G/ j4 f) C. A%System%\WinHelp.exe
* 缺省情況下Windows　NT/2000System文件夾為C:\Winnt\ System32, XP下為C:\Windows\System32

% S( i  k+ t! D2 h+ f) ^2.創建下列文件：
! v; l5 o* c1 i　%System%\ODBD16.DLL(53,760 bytes)
%System%\Msjdbc11.DLL(53,760 bytes)
: E* z2 `3 P0 I  t2 S%System%\MSSIGN30.DLL(53,760 bytes)
9 t  }4 w) G; `0 _1 `/ Y( p; i
: A& r- H, w9 _$ \2 `! }%System%\NetMeeting.exe(61,440 bytes)
% H$ i5 N; f1 |% g& k* H; [6 i%System%\spollsv.exe(61,440 bytes)

" e7 `( y' {1 T. E$ T3.在病毒所在文件夾下，可能創建如下文件：
a
results.txt
win2k.txt
1 [8 g3 r, w& w5 m- qwinxp.txt

4.病毒修改註冊表：
　1).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 下添加如下鍵值確保自身在系統運行後啟動：
"Hardware Profile"="%System%\hxdef.exe"
"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
7 {* T2 i( Q) _( a) v"Program in Windows"="%System%\IEXPLORE.EXE"
  R3 E: O6 a& L0 W/ Q) h# L1 I! X% O"Proteced Storage"="RUNDLL32.EXE MSSIGN30.DLL ondll_reg"
3 }9 `% E$ O9 z$ Z" T"Shell Extension"="%System%\spollsv.exe"
"VFW Encoder/Decoder Settings"="RUNDLL32.EXE MSSING30.DLL ondll_reg"
- \1 b' l+ _' ^: y"WinHelp"="%System%"\WinHelp.exe
　
, E1 m/ {- z# X+ `2).在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 下添加如下鍵值將自身設為服務(Windows 95/98/Me下)：
"SystemTra"="%Windir%\Systra.exe"

$ I, z  k7 {5 q4 t$ b/ M3).在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 下添加如下鍵值使得(NT/2000/XP)系統啟動時，病毒同時運行：
, \  B$ h" X" n2 t. e4 R8 x, s"run"="RAVMOND.exe"

. p6 C4 c, n- ~4).創建子鍵：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1
" \4 t8 |0 j) U/ W6 y7 a! S
5.停止如下服務：
Rising Realtime Monitor Service
4 `) ^- a* u' }, l. qSymantec Antivirus server
: \, @" [( P! hSymantec Client
7 M2 H+ \# B; v& N
6.創建關聯"Rundll32.exe msjdbc11.dll ondll_server"的服務："Windows Management Protocol v.0(experimental).","_reg"

) {* g" Y5 U; g4 j2 M: s7.終結包含如下字符串的所有進程(很明顯，病毒想停止殺毒程序的進程)：
KV
KAV
Duba
/ Y; J% j! a9 U; aNAV
! Q; l0 {  R1 F( {  _  ckill
& k- v+ E# V* fRavMon.exe
Rfw.exe
6 C1 B, |1 j. |" P9 X! }, `Gate
2 `  G% {+ M* eMcAfee
+ o7 o/ z% x: ^8 g5 B/ D+ uSymantec
& X3 i9 F8 I& E6 ^, }2 ^SkyNet
rising
- `" u* T; \- w8 [. ~/ C
% l6 {3 @$ j$ S: I) ?2 \8.在6000端口上運行後門程序，該程序收集機器的系統信息保存到C:\Netlog.txt中，並將其發送至攻擊者。
- D8 h: u1 ~/ v: C1 L5 v% b$ q
- v4 h# ~  K5 e' z9.以如下形式將自身拷貝到所有網絡共享文件夾及其子文件夾下：
WinRAR.exe
Internet Explorer.bat
Documents and Settings.txt.exe
Microsoft Office.exe
Windows Media Player.zip.exe
Support Tools.exe
+ N2 G  f1 D* w  t$ s7 ~WindowsUpdate.pif
Cain.pif
8 `: u9 A/ h, bMSDN.ZIP.pif
autoexec.bat
findpass.exe
! ^+ N; }8 C2 `: _& Xclient.exe
1 F1 i  ~/ ^" x* w0 Ci386.exe
! [5 |" u3 W  n5 q# ^& Y8 `winhlp32.exe
xcopy.exe
mmc.exe

10.掃瞄本機所在局域網，以"Administrator"作為賬號，並用如下字符串作為口令試探登陸其他機器：
8 d- T/ _! b" F7 BGuest
) r" J+ d' a3 }Administrator
; P, ]% X: `3 Y2 [5 S.....
6 i1 D: x  Q" P! A- }* O*如果沒有設置密碼，病毒同樣會用"Adimistrator"登陸遠程機器
9 U6 {, \3 Y! a% b  s
& X% j* K4 W/ s' q6 J3 ?0 \& {11.如果病毒能夠成功登陸遠程機器，它會嘗試將自身複製到\\<remote computer name>\admin$\system32\NetManager.exe，並把文件"Windows Management NetWork Service Extensions."設為服務

12.向Explore.exe或者Taskmgr.exe中注入線程，如果線程發現病毒程序沒有運行，或者已經被刪除，它會嘗試拷貝自身並運行。
8 C# R8 U! f; ]
5 F: l- p* a6 r0 x13.在隨機端口打開FTP服務，並且不加認證，這也意味著被感染的機器已經向所有人開放。

6 K1 ?% ~& d- b14.創建一個網絡共享"Media"，指向"%Windir%\Media"
3 L8 e1 U2 I2 b  J) K$ z
15.在所有硬盤分區(不包括A,B)的根目錄下創建壓縮文件：<filename>.<ext>。
<filename>通常是如下中一個：
WORK
setup
- |( i0 d8 s9 T- z4 O1 k! FImportant
* b$ I3 C8 [- R' q6 Obak
letter
pass
- H; Q: D7 X1 s8 t) \3 Y& S  K
<ext>通常是RAR或者ZIP
( s8 |# B% L" z) H; x/ }
該壓縮包中包含一份病毒的備份文件，文件名為<filename>.<ext>
7 T( S5 g1 Y" {# w<filename>通常是如下中一個：
WORK
setup
. `& J; V+ E' N7 F3 }' p: ZImportant
2 p- F! x7 l# @) Dbook
email
* `3 v' q& }+ ~& J8 nPassWord

4 F$ K/ ]. i* |% s7 i" r<ext>通常是exe,com,pif,scr

16.在所有分(不含CD-ROM分區)的根目錄下創建文件Autorun.inf，並將其拷貝為該文件夾下的Command.com
*如果雙擊該圖標，病毒將被運行．
6 g" n' N$ X7 c" i6 M: m
/ \( P3 T% Z( s, O+ r6 b8 J  W+ f17.病毒掃瞄所有硬盤分區，一旦發現分區屬於移動硬盤，映射驅動器或者分區號超過E，則病毒將執行如下操作：
2 T" H% F6 o" b; b( E嘗試將所有擴展名為.exe的文件其擴展名改成.zmx
- ^8 s/ O9 X6 e; J- z* W3 f2 M將這些文件的屬性設成「隱藏」和「系統」
將自身拷貝為原始文件名
例如：病毒發現文件temp.exe，它將把文件更名為temp.zmx，並將自己的一個拷貝改名為temp.exe
, h+ W' b2 m7 ^4 d% z4 A6 v
18.通過DCOM RPC漏洞(基於TCP協議的135端口)，嘗試攻擊其他機器

$ V( O) n3 s: H- R" a19.通過各種郵件客戶端程序(包括OE)，回復郵箱裡的所有來信
9 V/ g" p2 `. r( M6 _例如： 原始郵件如下：
! W7 k/ N8 V7 JSubject: <subject>
9 ?, K- z/ I8 V" S' nFrom: <someone>@<somewhere.com>
Message: <original message body>
: W2 A2 K( }  F# M! G' Y
病毒嘗試發送如下郵件：
Subject: Re: <subject>
To: <someone>@<somewhere.com>
# C" B% I1 V2 M$ E+ |4 s5 {Message:
' a2 E) Y/ z% S  ~<someone> wrote:
====
> <original message body>
>
====

+ ~$ G7 {9 b2 I5 Q7 l, H4 x0 j% d<senders domain> account auto-reply:
% _7 V: p* U) f  a& i後邊通常是：
If you can keep your head when all about you
Are losing theirs and blaming it on you;
4 V# q4 n" C8 e( X$ ^If you can trust yourself when all men doubt you,
But make allowance for their doubting too;
' v! s6 e% i5 S3 a+ Z! p3 U0 g* YIf you can wait and not be tired by waiting,
Or, being lied about,dont deal in lies,
9 l" l& E; G1 ]: p; u( r3 @Or, being hated, dont give way to hating,
& W9 p6 l) R9 @1 C- ?2 W. c; vAnd yet dont look too good, nor talk too wise;
... ... more look to the attachment.

8 K9 \: k3 r* U% [> Get your FREE <senders domain>now! <

附件通常是下邊中的一個：
5 A6 s6 y- _! F$ sthe hardcore game-.pif
Sex in Office.rm.scr
6 q+ C* O4 b: _  \- Y2 G$ \: R: yDeutsch BloodPatch!.exe
# _- i' d' [% k+ ]8 P* N& qs3msong.MP3.pif
' n8 y5 i8 l- b3 z0 A+ wMe_nude.AVI.pif
/ _( J- }0 i- [7 O8 s" lHow to Crack all gamez.exe
Macromedia Flash.scr
: J5 o" [* H+ Q) ?; c3 V. uSETUP.EXE
2 H5 l* V8 [. M9 Z1 b, }Shakira.zip.exe
dreamweaver MX (crack).exe
  b1 X) m( G8 BStarWars2 - CloneAttack.rm.scr
Industry Giant II.exe
DSL Modem Uncapper.rar.exe
& v. a! W$ M& q, _$ ejoke.pif
Britney spears nude.exe.txt.exe
+ d7 A' V, ?0 q! T- H) nI am For u.doc.exe


. x/ G. t" |# u- P20.掃瞄系統的WAB文件，Internet臨時文件夾，映射驅動器，以及內存，將自身通過收集到的郵件地址發送出去。

9 S& ]; u# y& @4 V* u21.病毒遍歷所有硬盤分區以及內存，在擴展名是下列幾種的文件中收集E-mail地址：
.txt
+ k" I2 W9 C4 a  g; j.htm
# N  C# s7 [4 @7 b: k.sht
.php
.asp
  e( j8 {4 I8 x.dbx
" Y- n' l! w( D.tbb
6 j( k# Q& b; ?.adb
.pl
# U& i' {7 P1 U0 o! G.wab

22.使用其自身攜帶的SMTP引擎，發送郵件
郵件如下：
發送人: 發送人的姓名在病毒攜帶的列表裡隨機尋找一個
7 i" n. \3 {3 y* T5 r3 D" E
/ P% {9 u* f  q# L標題: 郵件的主題通常是下邊的一個:
( P1 U" E5 R  D- ~: K4 N7 n
test
hi
+ o/ X- M6 W9 |* ehello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error

0 Y  V7 D  ^. I1 e: d. o4 Y0 w; s正文: 郵件內容通常是下邊的一個:

Its the long-awaited film version of the Broadway hit. The message sent as a binary attachment.
The message contains Unicode characters and has been sent as a binary attachment.
0 Y$ b" S, t" l! d. a# rMail failed. For further assistance, please contact!

附件: 隨機創建文件名，並生成如下擴展名:

& k- ~) Z3 _) f& s.exe
.scr
" n% G0 c. ?% f: N5 c7 P.pif
/ B( o- G1 v1 G/ v.cmd
( z6 n' p1 R3 B" w/ w6 `.bat
+ m8 E: g& L, l6 B% r* Z.zip
9 z! n8 Q4 B) K! H* C# W4 f# R.rar

自己搜索的...
6 J2 ~, o) G( J& X俺中這個病毒無數次...每次都頭大...

CENFANG--來自aisoho，應該是我們這裡的vip會員