W32.Chir.B@mm_病毒数据库

病毒名称: W32.Chir.B@mm 类别：蠕虫病毒资料：
    受影响系统：Windows 95, Windows 98, Windows NT, windows 2000, Windows XP, Windows Me

    不受影响系统：Macintosh, Unix, Linux

    病毒危害：

    1.发送大量邮件：感染后会向.WAB(Windows地址簿), .adc, r.db, .doc, .xls文件中的邮件地址发送大量病毒邮件；

    2.修改文件：会感染 .HTM, .Html, .EXE, .SCR文件。

    病毒传播：

    From:<用户名>@yahoo.com或imissyou@BTamail.net.cn

    主题：[用户名]is coming!

    附件：pp.exe

    技术特征：

    该病毒既是一个网络共享、电子邮件蠕虫，又是一个文件感染型病毒，会利用自己的SMTP引擎向.WAB(Windows地址簿), .adc, r.db, .doc, .xls文件中的邮件地址发送大量病毒邮件。它同时会搜索所有本地及网络驱动器，并感染后缀为.htm, .html, .exe及.scr的文件。

    病毒利用了IRAME及MIME漏洞，因此只要预览邮件时即会感染。运行后，它会：

    1.创建C:％system％RunoUCe.exe（注意Runouce中的字母"U"）文件。之后，它的属性会被设置成隐藏、系统及只读。这使得用户无法在Windows Explorer（若是默认设置的话）中看到此文件。

    2.添加Runonce C:WindowsSystemRunouce.exe至注册表

    HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun中，使得Windows启动时病毒会自动运行。

    3.利用自带的SMTP引擎向.WAB(Windows地址簿), .adc, r.db, .doc, .xls文件中的邮件地址发送附件为PP.exe的邮件。病毒使用的SMTP服务器是静态的，也就是指定的SMTP服务器没有运行时，病毒就无法传播。该SMTP服务器（btamail.net.cn）与以前W32.Chir@mm使用的是同一台。

    此病毒感染HTML文件的方式与尼姆达的类似。首先在与HTML文件相同目录下创建一个Readme.eml。此文件是是病毒的MIME编码部分。之后，病毒会修改此HTML文件，使得HTML文件预览时会打开Readme.eml。此修改功能只有在启用javascript情况下有效。


    病毒还会感染PE文件，它将自身依附在主文件的尾部，将尾部设置成可写并修改病毒体的入口点。从而，任何被感染文件执行时，此病毒会试图装载病毒副本、启动邮件程序。

病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ：      别名：I-Worm.Runouce.b [AVP], Win32/ChiHack [Ahnlab]

    小心修改网页文件的新病毒预览即会中招.
发现日期： 2002-7-29