專家談Worm.BlackDay蠕蟲病毒

傻猪猪米走鸡

專家談Worm.BlackDay蠕蟲病毒

http://big5.ccidnet.com:89/gate/big5/security.ccidnet.com/art/1099/20070428/1072621_1.html

這個病毒會影響到除Windows Vista外所有的Windows版本。病毒程式運行後會破壞正常文件，感染網頁文件，通過MS06-014和MS07-017漏洞傳播, 且被病毒破壞的文件無法修復，這點比較危險。

當系統中毒後，所有可執行文件圖標都變成了一個黑色炸彈的icon，如下圖：

用戶一旦感染該病毒，電腦會自動彈出一個病毒作者的留言框：

病毒體內有如下字樣：
I can't change my sanguinary inbeing,never.I canfeel that the tears come by my face.Kill
my self is the best,maybe.so Please.
My Name:wswhacker My age:17
I feeling free when I am not in prison.Can you feel my word?
（但此段文字在不同的版本裏會有些許不同。）

3、該病毒會遍歷本地磁區、可移動磁碟等儲存介質，發現有*.asp *.aspx *.php *.jsp *.htm *.html擴展名的腳本文件時進行感染：

在這些網頁腳本文件中插入一個Iframe標簽，添加惡意網址引用：
(iframe src="hxxp://www.d***youxi.net/Black-Day.htm" width=0 height=0)(/iframe)
當用戶打開這些網頁文件時，IE就會自動下載蠕蟲病毒。

（既然病毒目標是所有本地磁片，掃毒時就要注意全電腦掃描。）

4、發現如下擴展名的文件時，將病毒體內容覆蓋到文件首部，使文件被破壞，無法恢復：
.exe .msc .dll .scr .pif .com
發現如下擴展名的文件時跳過：
.lnk
對於其他文件，當文件大小小于258048(病毒體大小)時，覆蓋文件，否則跳過。感染後的文件末尾加如下感染標誌：wswhacker。

5、在每個磁碟根目錄下創建如下病毒文件，雙擊磁區時激活病毒：
autorun.inf
BLACK-DAY.EXE
這樣就可以借助隨身碟、MP3、外接式硬碟等移動儲存介質傳播。

此病毒雖然對文件的破壞力比較強，好在傳染性一般。目前還沒有大規模的中毒報告。

建議開啟文件、網頁等監控，可以隨時監控病毒對上述文件實施的更改操作。插入移動儲存介質後，掃描移動磁片後再執行文件。

【提示：為安全起見，文中用“*”代替了部分網址，並更改了Iframe標簽格式。】