WORM_ScardSer.A

病毒名称： WORM_ScardSer.A

其他病毒名：WORM_GOLTEN.A(Trend Micro)

W32.Scard（Symantec）

Worm/Alert.a（江民）

Worm.SCardSer（瑞星）

感染系统：Windows 2000, Windows 95, Windows 98,

Windows Me, Windows NT, Windows Server 2003,

Windows XP

病毒特征：

1、生成病毒文件

病毒运行后在%System％目录下生成ALERTER.EXE、COMWSOCK.DLL、DMSOCKDLL、 IETCOM.DLL、SCARDSER.EXE、SPTRES.DLL。（其中，%System%为系统文件夹，在默认情况下，在Windows 95/98/Me中为 C:WindowsSystem、在Windows NT/2000中为C:WinntSystem32、在Windows XP中为C:WindowsSystem32）

2、修改注册表项

病毒创建注册表项，使得自身能够在系统启动时自动运行，在

HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NT

CurrentVersionWinlogon下创建Shell = "Explorer.exe"

病毒还会生成如下注册条目，以便能够下载远程文件，在HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogon 下创建

Dfile = "http://www.abost.com/update/031.exe"

3、通过电子邮件传播

病毒电子邮件特征如下：

主题: Latest News about Arafat!!!

正文:

Hello guys!

Latest news about Arafat!

Unimaginable!!!!!

该病毒含有两个.EMF文件作为附件。ARAFAT_1.EMF是一个.JPG文件，显示内容如下：另一个附件为ARAFAT_2.EMF，该文件包含了可以利用微软Windows XP Metafile Heap Overflow的漏洞。当附件被打开后，上述文件会在受感染的系统中生成一份自身拷贝。

4、通过网络共享传播

病毒会尝试通过网络共享驱动器传播，它会在默认的网络文件夹ADMIN$和IPC$中运行病毒自身的拷贝。病毒会尝试使用自带的密码列表连接网络共享驱动器，来实施进一步的传播。

5、病毒运行

当病毒发出的邮件被阅读或者共享驱动器中的文件被激活的时候，病毒就会开始运行。病毒会在系统中生成如下进

程： LSASS.EXE、EXPLORER.EXE 。病毒还会安装.DLL文件，此文件会从远程位置下载其他组件并可用于自身传播。病毒会添加注册表项目，用于初始化远程文件下载。

手工清除该病毒的相关操作：

1、删除恶意文件

右击开始，点击搜索或寻找，这取决于当前运行的Windows版本。在名称输入框中， 输入：COMWSOCK.DLL、DMSOCK.DLL、IETCOM.DLL、SPTRES.DLL ，找到该文件然后选择删除。

2、修复注册表

打开注册表编辑器。点击开始->运行，输入REGEDIT，依次双击左边的面板中HKEY_LOCAL_MACHINE>Software>Microsoft>WindowsNT>

CurrentVersion>Winlogon ，找到右侧面板中Shell = "Explorer.exe"，并将其删除。

依次双击左边的面板中的

HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogon ，找到右侧面板中的Dfile = "http://www.abost.com/update/031.exe"，并将其删除。

3、修补系统漏洞

Microsoft Security Bulletin MS04-032，到以下网址下载该漏洞的补丁程序

http://www.microsoft.com/technet/security/bulletin/ms04-032.mspx