您的位置:首页网络冲浪病毒快报 → 细说本.拉登病毒邮件三大特征与两种感染方式

细说本.拉登病毒邮件三大特征与两种感染方式

时间:2004/10/8 16:41:00来源:本站整理作者:蓝点我要评论(3)

    据金山反病毒应急处理中心最新分析结果,得出本.拉登邮件三大特征,与两种传染方式。

  本.拉登病毒的邮件具有如下特征:

  1、通过搜索ICQ网站来取得邮件地址,使用匿名的方式采用SMTP协议发送带毒邮件。

  2、该病毒利用了Outlook的MIME漏洞。当我们预览含有病毒邮件时,病毒邮件体内脚本w代码在将被执行,如果计算机上所使用的Outlook浏览器存在该漏洞,计算机将被感染。

  3、邮件带有一份名为BINLADEN_BRASIL.EXE的附件,该病毒的附件实际上是一个可执行

  的文件,但是该蠕虫设置成audio/x-wav的文件类型,因此当Outlook在收到该信件后,若Outlook存在漏洞的话,Outlook会认为该附件是一个声音文件而直接执行它。

  本.拉登病毒感染部分的特征:

  它有两种感染方式,第一种感染方式不变形,但把文件的入口地址改为0,修改MZ部分文件头,在“MZ”标记后面加上十六进制的EB 4A,它跟“MZ”一起,可以组成如下指令:

  DEC EBP

  POP EDX

  JMP 40004E (注:此为相对跳转,是要跳到MZ头偏移4E出执行,如果文件基地址不是400000H,反汇编出来就不是40004E)

  而在MZ头部偏移4E的位置,病毒还会加上一些代码,使之能跳到后面的病毒体中去运行,该后部分病毒体未加密,未变形。

  第二种感染方式不修改MZ头,但使用了一种特殊的变形技术,它将所有的病毒体代码都变换生成变形后的代码,使人无法静态分析。病毒的变形代码将解码后的代码放入堆栈,最后跳入堆栈运行!实际上,在堆栈中的病毒代码和第一种感染方式的后部分代码是一样的。另外,病毒需要在文件中找一些指令(558BEC83EC),然后,病毒修改它为相对的CALL调用,以便自己获得控制权。

  无论第一种感染方式还是第二种感染方式,病毒都会检查文件的信息:查询文件长度,如果小于24576字节或者(文件长度-7)/101能整除,就不进行感染。另外,如果文件的节表不正常,病毒也不进行感染。

  注意,由于病毒感染文件时,没有对齐文件,所以感染后的文件在WinNT、Win2K、WinXP下很可能不能运行(系统提示非法的Win32程序),当然,经过杀毒后,文件可以恢复正常。

  金山毒霸18日在线升级包已加入对此病毒的查杀,以防本.拉登病毒侵袭,请您升级到最新版。



相关阅读 Windows错误代码大全 Windows错误代码查询激活windows有什么用Mac QQ和Windows QQ聊天记录怎么合并 Mac QQ和Windows QQ聊天记录Windows 10自动更新怎么关闭 如何关闭Windows 10自动更新windows 10 rs4快速预览版17017下载错误问题Win10秋季创意者更新16291更新了什么 win10 16291更新内容windows10秋季创意者更新时间 windows10秋季创意者更新内容kb3150513补丁更新了什么 Windows 10补丁kb3150513是什么

文章评论
发表评论

热门文章 没有查询到任何记录。

最新文章 火球病毒是什么意思 火360保险箱如何保护程序 安卓手机病毒Android.KungFu来袭 用户小心流lpk.dll是什么病毒_lpk.dll病毒专杀方法BMW病毒技术深入分析“图片大盗”通过聊天传播 专盗网游账号

人气排行 eset nod32序列号 nod32升级id 2009年8月28lpk.dll是什么病毒_lpk.dll病毒专杀方法最厉害病毒排行榜职业盗号的基本流程试图连接本机的IP端口,该操作被拒绝VBS病毒制造机v1.0 分析报告360保险箱如何保护程序和游戏账号中搜.桌面传媒Deskipn专杀彻底删除办法