威金病毒的特征

威金病毒的介绍~

近期有一个名为“威金蠕虫变种DR(Worm.Viking.dr)”的病毒正在互联网上肆虐。该病毒集文件型病毒、蠕虫病毒、病毒下载器于一身，传播能力非常强。该病毒会破坏用户的一些软件，造成它们无法使用。“威金蠕虫”是一个能在WIN9X/NT/2000/XP系统上运行的蠕虫病毒，通过感染文件、局域网以及其他病毒下载传播。该病毒还会自动在后台下载并运行“QQ通行证”等其他病毒，窃取用户QQ及网络游戏的账号和密码并发送给黑客。由于该病毒在编写上存在一些问题，可造成一些用户的软件被破坏，无法使用。

病毒运行后将自身伪装成系统正常文件，通过修改用户系统注册表项使病毒开机时即刻自动运行；同时，该病毒利用“线程注入技术”绕过网络防火墙的监视，连接到病毒作者指定的网站，下载特定的木马或其它病毒。感染该病毒后，病毒会从Z盘开始向前搜索所有可用分区中的.exe文件，然后感染所有大小27KB-10MB的可执行文件，感染完毕，会在被感染的文件夹中生成一个处于隐藏状态的系统文件：_desktop.ini，如果您的系统中发现此文件，表明您的系统可能已感染此病毒。另外,病毒本身还会经常以LOGO1_.EXE,4.EXE，ZUEZN.SYS以及等程序名作为主体存在.威金Worm.Viking病毒自出现，就登上了病毒排行榜席位，到现在已出现很多变种，其病毒发作特征也层出不穷，如往共享打印机狂塞打印任务（打印当天日期），感染磁盘上所有exe 可执行文件，传播速度快，等等。防病毒厂商们也相对应的编译专杀工具，网上也有相关的清除方法，但对于没有安装杀毒软件及exe文件被病毒感染无法修复的用户，另外，大部分防病毒软件会在清除被威金病毒感染的exe文件的时候，是将这些exe文件删除，这样就会造成很多应用程序不能正常使用，最好是能完全清除此病毒，并修复被病毒感染的文件.

1、病毒运行后将自身复制到Windows文件夹下，文件名为：
%SystemRoot%undl132.exe
2、运行被感染的文件后，病毒将病毒体复制到为以下文件：
%SystemRoot%\logo_1.exe
3、同时病毒会在病毒文件夹下生成：
病毒目录\vdll.dll
4、病毒从Z盘开始向前搜索所有可用分区中的exe文件，然后感染所有大小27kb-10mb的可执行文件，感染完毕在被感染的文件夹中生成：
_desktop.ini（文件属性：系统、隐藏。）
5、病毒会尝试修改%SysRoot%\system32\drivers\etc\hosts文件。
6、病毒通过添加如下注册表项实现病毒开机自动运行：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
load=C:\\WINNT\undl132.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
load=C:\\WINNT\undl132.exe
7、病毒运行时尝试查找窗体名为：RavMonClass的程序，查找到窗体后发送消息关闭该程序。
8、枚举以下杀毒软件进程名，查找到后终止其进程：
Ravmon.exe
Eghost.exe
Mailmon.exe
KAVPFW.EXE
IPARMOR.EXE
Ravmond.exe
9、同时病毒尝试利用以下命令终止相关杀病毒软件：
net stop Kingsoft AntiVirus Service
10、发送ICMP探测数据Hello,World，判断网络状态，网络可用时，枚举内网所有共享主机，并尝试用弱口令连接\\IPC$、\admin$等共享目录，连接成功后进行网络感染。
11、感染用户机器上的exe文件，但不感染以下文件夹中的文件：
system
system32
windows
Documents and settings
system Volume Information
Recycled
winnt
Program Files
Windows NT
WindowsUpdate
Windows Media Player
Outlook Express
Internet Explorer
ComPlus Applications
NetMeeting
Common Files
Messenger
Microsoft Office
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gaming Zone
12、枚举系统进程，尝试将病毒dll(vdll.dll）选择性注入以下进程名对应的进程：
Explorer
Iexplore
找到符合条件的进程后随机注入以上两个进程中的其中一个。
13、当外网可用时，被注入的dll文件尝试连接以下网站下载并运行相关程序：
http://www.17**.com/gua/zt.txt 保存为：c:\1.txt
http://www.17**.com/gua/wow.txt 保存为：c:\1.txt
http://www.17**.com/gua/mx.txt 保存为：c:\1.txt
http://www.17**.com/gua/zt.exe 保存为：%SystemRoot%\0Sy.exe
http://www.17**.com/gua/wow.exe保存为：%SystemRoot%\1Sy.exe
http://www.17**.com/gua/mx.exe 保存为：%SystemRoot%\2Sy.exe
注：三个程序都为木马程序
14、病毒会将下载后的1.txt的内容添加到以下相关注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
auto=1
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows]
ver_down0=[boot loader]\\\\\\\\\\\\\\\\+++++++++++++++++++++++
ver_down1=[boot loader]
timeout=30
[operating systems]
multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS=\Microsoft Windows XP Professional\ ////
ver_down2=default=multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition⑴\\WINDOWS=\Microsoft Windows XP Professional\ /////
15、威金病毒变种类型
Worm/Viking.aof//病毒类型：蠕虫
I-Worm/Warezov.fl//病毒类型：蠕虫
Worm.Xiazaizhe.a //病毒类型：蠕虫
Worm.Viking.ss //病毒类型：蠕虫
Trojan/DDos.Agent.r//病毒类型：木马
setup.exe病毒(Worm.Viking)
网上冲浪，就比较容易中logo1_exerundl132.exe（仔细在任务管理器中可以找到.）
既然是通过网络传播，就有传播的端口,可以考虑在网络设备上增加ACL，进行访问控制.在边界防火墙上增加相关的端口屏蔽策略.
因其有主机感染的特点，更要加强网络版防毒软件终端系统的更新和及时查杀。
另外，防火墙除了屏蔽传播端口外，一般对病毒的基本无控制能力，而很多病毒（除了移动存储设备）均来自于网络中，边界的防毒，垃圾邮件，带毒邮件的威胁需要用户重视.可以采用例如DCFW-1800E-UTM统一威胁管理设备.进行防毒 防垃圾邮件的安全控制.

---

琼结县15659838808： 威金病毒 - 搜狗百科？
夏饱风湿： 这种病毒感染力强,破坏力大啊,要非常的注意,对付威金蠕虫病毒用金山毒霸应该可以的!

琼结县15659838808： 病毒的发现史 - 现今医学界发现了哪些最危险的病毒?有几种?名字是什么?主要的起源 ？
夏饱风湿： 威金病毒LOGO1_.EXE 主要症状: 1、占用大量网速,使机器使用变得极慢. 2、会捆绑所有的EXE文件,只要一运用应用程序,在winnt下的logo1.exe图标就会相应...

琼结县15659838808： 打印机无故打印..而且只打印一个日期!每天都生成一个.ini文件? ？
夏饱风湿： 威金病毒的典型特征………… 如果不处理,以后你会慢慢发现,某些图标会变得模糊,然后就不能使用,然后机器越来越慢……最终导致全面死机!! 你仔细看看这个ini...

琼结县15659838808： 金威病毒的症状？
夏饱风湿： 朋友,你说的病毒说错了,是威金病毒,这种病毒感染性强,连你的视频或音频文件也会被感染,症状,你会看见很多图标变大,或者很模糊,你要快点用杀毒软件杀了,种了此病毒,很影响速度的

琼结县15659838808： 熊猫烧香的特点?急~~~ - ？
夏饱风湿： “熊猫烧香”(“威金”病毒变种) 病毒特征 1、这个病毒关闭众多杀毒软件和安全工具 2、循环遍历磁盘目录,感染文件,对关键系统文件跳过 3、感染所有EXE、SCR、PIF、COM文件 4、感染所有.htm/.html/.asp/.php/.jsp/.aspx文件,添加木马...

琼结县15659838808： VIKING病毒有什么危害 - ？
夏饱风湿： 威金病毒,破坏力强大. 该病毒为Windows平台下集成可执行文件感染、网络感染、下载网络木马或其它病毒的复合型病毒,病毒运行后将自身伪装成系统正常文件,以迷惑用户,通过修改注册表项使病毒开机时可以自动运行,同时病毒通过线程注入技术绕过防火墙的监视,连接到病毒作者指定的网站下载特定的木马或其它病毒,同时病毒运行后枚举内网的所有可用共享,并尝试通过弱口令方式连接感染目标计算机. 运行过程过感染用户机器上的可执行文件,造成用户机器运行速度变慢,破坏用户机器的可执行文件,给用户安全性构成危害. 病毒主要通过共享目录、文件捆绑、运行被感染病毒的程序、可带病毒的邮件附件等方式进行传播.

琼结县15659838808： viking.CH这是什么样的病毒? - ？
夏饱风湿： 威金(viking)病毒的变种.威金蠕虫感染Windows可执行文件,并会查找局域网中所有的共享计算机,尝试猜解它们的密码,试图感染这些计算机.该病毒还会自动在后台下载并运行 “西游木马”等,窃取网络游戏玩家的账号和密码并发送给黑客.同时,该病毒还会下载一个QQ病毒,自动向用户的QQ好友发送内容为“看看啊.我最近的照片~才扫描到QQ相册上的!”的消息并附带一个网址,其他用户点击消息中的网址就可能被病毒感染.

琼结县15659838808： 我中了熊猫烧香,解释一下 - ？
夏饱风湿： 这个图案http://img2.pconline.com.cn/pconline/0701/13/942893_2.jpg 熊猫烧香”其实是一种蠕虫病毒的变种,而且是经过多次变种而来的.尼姆亚变种W(Worm.Nimaya.w),由于中毒电脑的可执行文件会出现“熊猫烧香”图案,所以也被称为“...

琼结县15659838808： 什么是“威金病毒”? - ？
夏饱风湿： 机子进程有Logo_1.exe、图标会变得模糊或图标颜色失真、WINRAR图标会变大、部分程序的.exe文件会消失 比较容易出的就是暴风影音 有以上情况的 还原备份或重装系统都不可以彻底解决,病毒原体还在硬盘中 最好是杀毒之后再重装系统 那就可以确定是中了威金了 一般用瑞星升级至18.50以上版本都可以查杀的!