荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: gordonlot (人渣有理), 信区: Virus
标 题: “求职信L版”病毒详细分析报告
发信站: 荔园晨风BBS站 (Fri Apr 26 11:25:36 2002), 转信
Worm.Klez.L是种蠕虫病毒，病毒体内包含大量加密字符串。由于此病毒能提升自
身的运行级别，使得一般程序无法结束或访问它的进程，包括Windows自带的任务管
理器。因此无法手工清除此病毒。
病毒在得到运行后，首先提升自身的运行级别，然后将自己复制到Windows系
统目录下， 文件名总以Wink开头，同时还会放出一个小病毒体(Win32.Foroux.
exe)，最后分别运行它们并退出。当病毒被自己再次运行时，它会发现自身已处于
系统目录下，此时病毒运行线路发生改变，它不再复制自身，而是创建７个病毒线
程，并以系统服务的形式驻留内存。病毒的７个线程分别完成以下任务。
（１） 遍历所有进程，杀掉对它有威胁的进程。稍后再作详细介绍。
（２） 在本地硬盘搜索一些著名杀毒软件的数据文件，发现后立即后删除，
导致它们无法运行。
（３） 感染注册表中某些已登记安装了的软件，例如Explorer,WinZip,
WinRAR,OutLook等，因为这些软件比较常用，可保证病毒被激活。
（４） 搜索网络邻居中的可写文件夹，并将病毒体复制到其中，以便扩大传
染面积。
（５） 通过自带的SMTP客户端程序向用户地址簿的地址发送带毒邮件。邮件
标题多为吸引人的标题。例如Christmas , Hope等。此邮件在老版本系统上会自动
执行附件。
（６） 将小病毒体释放到Program File目录中，文件名随机，并启动此小型
病毒体（Win32 Foroux）．病毒Win32 Foroux是个典型的文件型病毒，启动后即开
始全盘感染可执行文件。由于病毒会识别受Win2K，WinXP的系统认证保护的文件，
所以在病毒感染系统目录时，不会引起警报对话框。
（７） 在Windows的Internet临时文件夹中搜寻对它有威胁的文件，找到后立
即删除。从而阻止用户上网升级或下载对付它的程序。
病毒新增特点：
Worm.Klez.L的最大特点在于其抑制杀毒软件的能力大为提高，甚至包括一些
著名病毒（它的早期版本），只要是阻碍Worm.Klez.L传播的软件它都不放过。它
通过注册表和内存两方面破坏这些软件。
在启动时，它会遍历应用程序登记的安装路径。只要发现含有以下字符串，立
刻删除所对应的键值。
_AVP32 _AVPCC NOD32 NPSSVC NRESQ32 NSCHED32
NSCHEDNT NSPLUGIN NAV NAVAPSVC NAVAPW32 NAVLU32
NAVRUNR NAVW32 _AVPM ALERTSVC AMON AVP32
AVPCC AVPM N32SCANW NAVWNT ANTIVIR AVPUPD
AVGCTRL AVWIN95 SCAN32 VSHWIN32 F-STOPW F-PROT95
ACKWIN32 VETTRAY VET95 SWEEP95 PCCWIN98 IOMON98
AVPTC AVE32 AVCONSOL FP-WIN DVP95 F-AGNT95
CLAW95 NVC95 SCAN VIRUS LOCKDOWN2000 Norton
Mcafee Antivir TASKMGR
这些字符串几乎覆盖了世界上所有的杀毒软件。
当病毒驻留内存后，病毒体内的一个线程不停地搜寻其他进程，只要在其一个
模块中搜到以下一个字符串，立刻结束其运行。
Nimda（尼姆达） CodeRed(红色代码) WQKMM3878(Klez) GRIEF3878
Fun Loving Criminal Norton(诺顿) Mcafee Antivir
Avconsol F-STOPW F-Secure Sophos
Virus（最常见） AVP Monitor (AVP) AVP Updates(AVP) InoculateIT
PC-cillin(趋势) Symantec(诺顿) Trend Micro(趋势) F-PROT
NOD32
更可恶的是Worm.Klez.L还把此进程所对应的程序文件也给删除了。 由于杀毒
软件和某些工具的代码块或数据块中常包含此类字符串。并且病毒每次轮询的间隔
只有64毫秒（加上搜索的时间也不过几秒）。在它之后启动的杀毒软件在点杀毒按
钮前就已被干掉。以至于无法带毒杀毒。
有趣的是病毒作者在其病毒体内还特意留下了一大段吹嘘自己病毒的语句：
Klez.E is the most common world-wide spreading worm.It's very
dangerous by corrupting your files.Because of its very smart stealth and
anti-anti-virus technic most common AV software can't detect or clean
it.We developed this free immunity tool to defeat the malicious virus.
You only need to run this tool once,and then Klez will never come into
your PC.NOTE: Because this tool acts as a fake Klez to fool the real
worm,some AV monitor maybe cry when you run it.If so,Ignore the
warning,and select 'continue'If you have any question,please mail to
me.
Win32 Klez V2.01 & Win32 Foroux V1.0
Copyright 2002,made in Asia About Klez V2.01:
1,Main mission is to release the new baby PE virus,Win32 Foroux
2,No significant change.No bug fixed.No any payload.
About Win32 Foroux (plz keep the name,thanx)
1,Full compatible Win32 PE virus on Win9X/2K/NT/XP
2,With very interesting feature.Check it!
3,No any payload.No any optimization
4,Not bug free,because of a hurry work.No more than three weeks
from having such idea to accomplishing coding and test
中文翻译如下：
Klez.E是最常见的全球性传播蠕虫。因其在隐秘和反反病毒技术方面的高度智
能，使得它在破坏你的文件时十分危险。绝大部分的反病毒软件不能够发现或者清
除它。我们开发这种免费的免疫工具用以对抗恶性病毒。你只需要运行一次这种工
具，Klez就再也不会进入你的个人电脑。
注意：因为这个工具以虚拟一个Klez的方式来欺骗真正的蠕虫，所以一些反病
毒实时监控可能会在您运行它时发出警报。如果这样，跳过这个警告，并选择‘
continue’。如果你仍有问题，请与我mail联系。
Win32 klez 2.01版和 Win32 Foroux 1.0版
Copyright 2002,made in Asia
关于Klez 2.01版
1、主要任务是发表一个新的子PE病毒：Win32 Foroux
2、没有重大变化，没有修改Bug,没有任何表现模块
关于Win32.Foroux
1、完全兼容于Win9X/2K/NT/XP等操作系统的Win32 PE病毒
2、没有任何表现模块，没有任何优化；
3、未释放Bug---是因为从有这个想法到完成编码及测试仅用了不超过3周时间
就匆匆完成
作者虽然把Klez说成是个良性病毒，可以免疫其他病毒.但事实上它会删除你
的文件， 并且它所谓的免疫只是把带有Nimda，Sircam，CodeRed等字符串的进程
杀死，这种方法根本无法阻止其它病毒的传染（就连这３种都不彻底）。
病毒的清除
此病毒会删除杀毒软件的主程序，以至于用户无法升级杀毒软件，所以采用瑞
星专杀版本是比较有效的方法
，瑞星专杀版本文件名不固定，也可保证不含有敏感字符串，即使包含病毒识别的
字符串，由于瑞星专杀版本的运行速度很快，在病毒发现它以前，病毒已被它杀掉
，所以不怕此类病毒。
另一种方法是开启瑞星邮件监控系统和瑞星内存实时监控系统进行实时拦截，
任何企图调用它们对主程序进行操作的代码都会被拦截，提示用户是否确认，这样
就杜绝主程序被删或被停，这时就如同查杀普通病毒一样了
。
《瑞星杀毒软件2002增强版》在国际上首次实现未知邮件病毒的拦截功能，邮
件监控系统和内存监控系统可以有效地阻止“求职信”此类病毒的感染和传播，邮
件泄密拦截系统可以实时阻断乱发邮件现象。
--
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.48.221]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店