BAT.WCup.B@mm_病毒数据库

病毒名称: BAT.WCup.B@mm 类别：蠕虫病毒资料：      感染长度：10018字节

    危害级别：低

    传播速度：慢

    受影响系统：Windows 98, Windows Me

    不受影响系统：Macintosh, Unix, Linux

    病毒危害：

    1.发送大量邮件：会向Outlook地址簿中的所有联系人发送邮件；

    2.删除文件：会试图删除如下文件："C:Progra~1KASPer~1Avp32.exe", "C:Progra~1Norton~1*.exe", "C:Progra~1Trojan~1Tc.exe", "C:Tbavw95Tbscan.sig", "C:PrograNorton~1S32integ.dll", "C:PrograF-prot95Fpwm32.dll", "C:PrograMcAfeeScan.dat", "C:ProgpaTbavTbav.dat", "C:PrograAvpersonalAntivir.vdf"

    3.修改文件：试图修改win.ini及system.ini文件

    技术特征：

    这是一个脚本蠕虫病毒，会利用Outlook及mIRC进行传播，其邮件格式为：

    主题：Korean New Tactics To Defeat Germans（韩国击败德国的战术技巧）

    内文：Tactics to win over the Germans!

    附件：germany_sUCks.BAT

    若用户收到此类信件直接删除，不要打开附件！

    病毒会在硬盘的根目录下建立Pro目录，并将自身拷贝至此目录下C:ProKorea.jpg.bat。同时，当用户正与某个IRC通道相连时，它会试图修改mIRC的配置文件来向外发送Korea.jpg.bat 。

    此病毒运行后：

    1.利用Outlook向外发送邮件；

    2.搜索用户机器上是否安装了mIRC，若有则会修改其配置文件用来发送病毒副本Korea.jpg.bat。

    3.在当前目录下创建文件：

    （1）Cha_du_ri.bat (89 字节）：含有Win.ini文件的部分代码以装载Wini.bat；


    （2）Korea_rulez.vbs (127 字节):一个小的脚本文件，用来从Windows目录下运行Korea_rulez.bat；

    （3）Koreans_.reg (150 字节）：注册表导入文件，若手动运行后，会在注册表键HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下创建键值sexywormbykoreaofgalaxynetirc#vx (WINDOWS)"germans_suxs.bat

    （4）Germany_sucks.bat及Koreans_win_germans.bat (10,018字节):BAT.WCup.B@mm的副本；

    4.在Windows目录下创建：

    （1）Dd.ini (89 字节): Cha_du_ri.bat的一个副本；

    （2）Korea_win_worldcup2002.vbs (134字节): 一个小的脚本文件，用来从Windows目录下运行Korea_worldcup2002.bat

    （3）KOREANS_.REG (150 bytes):注册表导入文件的副本。

    5.在Windows目录下以如下文件名生成BAT.WCup.B@mm病毒副本：

    Germans_suxs.bat

    Korea_rulez.bat

    Korea_wins.bat

    Korea_worldcup2002.bat

    Worldcup2002_korea.bat

    Start MenuProgramsStartUpKoreans_koreans.bat

    SystemWini.bat

    6.删除如下文件：

    C:Progra~1Kasper~1Avp32.exe

    C:Progra~1Norton~1*.exe

    C:Progra~1Trojan~1Tc.exe

    C:Tbavw95Tbscan.sig

    7.删除如下文件，但通常由于路径无效无法删除掉：

    C:PrograNorton~1S32integ.dll

    C:PrograF-prot95Fpwm32.dll

    C:PrograMcafeeScan.dat

    C:ProgpaTbavTbav.dat

    C:PrograAvpersonalAntivir.vdf

    8.最后，它会修改System.ini配置文件本小至几个字节，并在引导程序中插入如下指令：

    hel=eXPlorer.exe C:WINDOWSkoreans_win_germans.bat
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ：      别名：Worm/BWG.F

发现日期： 2002-6-26