Worm.NetSky.S
病毒别名：W32.Netsky.R@mm [Symantec] WORM_NETSKY.R [Trend] Worm.NetSky.s.enc [瑞星] I-Worm/NetSky.s [江民]
处理时间：
威胁级别：★
中文名称：
病毒类型：蠕虫
影响系统：Win9x/WinMe/WinNT/Win2000/WinXP/Win2003
病毒行为:
编写工具:FSG1.0压缩
传染条件:通过网络发送邮件高速传播
发作条件:
系统修改:
A、将以下文件拷贝至系统安装目录：
%SystemRoot%PandaAVEngine.exe
%SystemRoot% emp09094283.dll
%SystemRoot%uinmzertinmds.opm(该文件包含MIME编码的该蠕虫病毒)
B、在注册表主键：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
下添加以下键值：
"PandaAVEngine" = "%SystemRoot%PandaAVEngine.exe"
从注册表主键：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
下删除以下键值(如果存在)：
Explorer
system.
msgsvr32
winupd.exe
direct.exe
jijbl
Video
service
Delete Me
Sentry
Taskmon
Windows Services Host
Microsoft IE Execute shell
Winsock2 driver
ICM version
Microsoft System Checkup
从注册表主键：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices
下删除以下键值：
system.
Video
yeahdude.exe
Microsoft System Checkup
从注册表主键：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
下删除以下键值：
Explorer
au.exe
direct.exe
d3dupdate.exe
OLE
gouday.exe
rate.exe
Taskmon
Windows Services Host
sysmon.exe
srate.exe
ssate.exe
winupd.exe
Winsock2 driver
删除以下子键：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersion
ExplorerPINF
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesWksPatch
HKEY_CLASSES_ROOTCLSIDCLSID
InProcServer32
发作现象:
特别说明:
A、创建一个名为“89845848594808308439858307378280987074387498739847”的互斥体以只允许该病毒的一个实例运行；
B、扫描C-Z盘，从以下后缀的文件中搜索Email地址：
.eml
.txt
.php
.asp
.wab
.doc
.sht
.oft
.msg
.vbs
.rtf
.uin
.shtm
.cgi
.dhtm
.adb
.tbb
.dbx
.pl
.htm
.html
.jsp
.wsh
.xml
.cfg
.mbx
.mdx
.mht
.mmf
.nch
.ods
.stm
.xls
.ppt
C、通过使用其自带的SMTP引擎来向搜索到的邮件地址发送其自身的拷贝。发送的邮件具有以下特征：
发件人: <欺骗性的词语>
主题:
RE: Document [Ｘ]
(Ｘ表示一个随机数字)
正文:
Excuse me,
the important document is attached,
Your sincerely
附件:
Document[Ｘ].pif