Question

Worm.Win32.Viking.ao 是 什么病毒？为什么卡巴斯基把它当作病毒杀掉呢？

Answer 1

病毒名称 Worm@W32.Looked.3
病毒别名 Worm.Win32.Viking.a [Kaspersky Lab], W32/Generic.Delphi.b [McAfee]
病毒型态 Worm
病毒发现日期 2005/02/25
影响平台 Windows 95/98/ME , Windows NT/2000/XP/2003

风险评估

散播程度：中
破坏程度：中

Worm@W32.Looked.3 行为描述：

注：%Windir%代表系统所在目录，在Win95/98/me系统默认值为 C:\windows

在WinNT/2000/XP/2003系统默认值为 C:\WinNT

骇虫会植入一个virDll.dll的文件到因特网中。

骇虫会偷取从www.szadk.com的网域下载的口令并且保存在%Windir%\1.exe。并且将此文件当做PWSteal.Trojan。

骇虫会搜寻.EXE的文件来感染计算机里的所有磁盘区域。

骇虫不会感染IEXPLORE.EXE或EXPLORER.EXE，以及下列各项字串名称的.EXE文件:

ComPlus Applications

Common Files

Documents and Settings

InstallShield Installation Information

Internet Explorer

MSN

MSN Gaming Zone

Messenger

Microsoft Frontpage

Microsoft Office

...........

骇虫会将感染的文件图像变换成一个窗口搜寻图像。

骇虫会将下列的文字添加到主要文件并重新的传送至网站中：

127.0.0.1 www.jiangmin.com

127.0.0.1 update.symantec.com

127.0.0.1 www.kaspersky.com

127.0.0.1 www.kaspersky.com.tw

127.0.0.1 www.pandasecurity.com

127.0.0.1 www.pandasoftware.com

127.0.0.1 www.rising-global.com

127.0.0.1 www.rising.com.cn

127.0.0.1 www.rising-hk.com

127.0.0.1 www.kingsoft.net

................

骇虫可能会传送含有"Hello,World"字串的ICMP到下列的IP位置:

192.168.0.30

192.168.8.1

病毒运行后，将骇虫本身复制到%Windir%

Logo1_.exe

更改登录档，如此开机即会启动骇虫。

HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW

名称=auto 值=1

关掉系统中安全防护软件的常驻程序，使其失去防护功效，关闭的处理程序如下：

Ravmon.exe
EGHOST.EXE
MAILMON.EXE
KAVPFW.EXE
IPARMOR.EXE
KWatchUI.EXE

Answer 2

开机按F8进安全模式，删除该病毒文件即可