最新蠕虫病毒“SP2杀手”分析报告

亮剑

“SP2杀手”病毒利用了人们对微软Windows XP SP2补丁的好奇心，针对人们的心理弱点欺骗用户下载运行。通过局域网和电子邮件两种方式传播，伪装成SP2补丁的破解程序。当系统时间为大于等于23日时，对预先设定的两个网站进行DOS攻击。
一、病毒评估

　　病毒中文名：SP2杀手
　　病毒英文名：Worm.Pikis.b
　　病毒类型：蠕虫病毒
　　病毒危险等级：★★★☆
　　病毒传播途径：局域网/邮件
　　病毒依赖系统：Windows 9X/NT/2000/XP

　　二、病毒的破坏

　　1．在中毒电脑的C盘和D盘收集电子邮件地址，向外疯狂发送病毒邮件，严重消耗系统资源。
　　2．当前系统时间大于等于23日时，对预先设定的两个网站进行DOS攻击。

　　三、技术分析

　　1．蠕虫病毒，运行后，将自己复制到%SYSTEM%目录下，文件名为“CRACK_BAT.EXE”、“SYSTEMS.EXE”、“IQ.DAT”、“FTTP.EXE”。
　　2．修改系统文件“system.ini”，在其中的[boot]节的shell里加入自己“systems.exe”，实现开机自启动。
　　3．病毒第一次运行时，会显示一个消息框“Install Crack for WindowsXP Sp2 99.006.34?”，当用户点“Yes”按钮之后，会提示“Not found package WindowsXP Sp2!”，病毒借此来欺骗用户伪装自己。
　　4．当系统日期大于等于23号时，病毒将对“Http://www.ufacom.ru”和“Http://www.sco.com”发动Dos攻击。
　　5．病毒会枚举局域网资源，尝试连接到目标系统并复制过去，路径为\C$\porno.exe，以达到传播目的。
　　6．病毒会搜索C:\、D:\文件中的Email地址，向外大量发送病毒邮件传播自己，严重消耗网络资源。病毒邮件的标题是：“Hello”、“Forum”、“Crack”，正文为“Install package. Enjoy!”、“Access Denied!!! Please enter password:JJJK56RtE and install pack”，附件名为“GetAdmin.exe”、“Setup.exe”、“Crack.exe”等。

四、病毒解决方案

　　1. 进行升级

　　瑞星公司将于当天进行紧急升级，升级后的软件版本号为16.41.40，该版本的瑞星杀毒软件可以彻底查杀“SP2杀手”病毒，瑞星杀毒软件标准版和网络版的用户可以直接登陆瑞星网站下载升级包进行升级，或者使用瑞星杀毒软件的智能升级功能。

　　2.使用在线杀毒和下载版
　　用户还可以使用瑞星公司的在线杀毒与下载版产品清除该病毒，这两款产品是通过手机付费使用的，用户可以到瑞星网站上查看相关产品。

　　五、安全建议

　　1.建立良好的安全习惯。例如：对一些来历不明的邮件及附件不要打开，不要上一些不太了解的网站、不要执行从 Internet 下载后未经杀毒处理的软件等，这些必要的习惯会使您的计算机更安全。

　　2.关闭或删除系统中不需要的服务。默认情况下，许多操作系统会安装一些辅助服务，如 FTP 客户端、Telnet 和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大用处，如果删除它们，就能大大减少被攻击的可能性。

　　3.经常升级安全补丁。据统计，有80%的网络病毒是通过系统安全漏洞进行传播的，象蠕虫王、冲击波、震荡波等，所以我们应该定期到微软网站去下载最新的安全补丁，以防范未然。

　　4.使用复杂的密码。有许多网络病毒就是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数。

　　5.迅速隔离受感染的计算机。当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。

　　6.了解一些病毒知识。这样就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏。如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果了解一些内存知识，就可以经常看看内存中是否有可疑程序。

　　7.最好安装专业的杀毒软件进行全面监控。在病毒日益增多的今天，使用杀毒软件进行防毒，是越来越经济的选择，不过用户在安装了反病毒软件之后，应该经常进行升级、将一些主要监控经常打开（如邮件监控）、内存监控等、遇到问题要上报， 这样才能真正保障计算机的安全。

　　8.用户还应该安装个人防火墙软件进行防黑。由于网络的发展，用户电脑面临的黑客攻击问题也越来越严重，许多网络病毒都采用了黑客的方法来攻击用户电脑，因此，用户还应该安装个人防火墙软件，将安全级别设为中、高，这样才能有效地防止网络上的黑客攻击。