小邮差变种I
“小邮差变种I（Worm.Mimail.I）”病毒：警惕程度★★★★，蠕虫病毒，通过邮件传播，依赖系统: WIN9X/NT/2000/XP。
该病毒是“小邮差”病毒家族的第9个变种，该病毒变种并不象上几个病毒变种那样攻击某些网站，而是伪装成信用卡信息填写栏来骗取用户的信用卡信息，病毒运行后会释放出c:pp.hta、c:pp.gif两个病毒文件，并运行其中的一个文件，这时就会出现一个假的信用卡信息填写栏，如果用户信以为真而填写上自己的信用卡信息的话，这些信息就会被病毒保存在c:ppinfo.sys文件内，然后通过网络发送到病毒作者指定的信箱。另外该病毒会搜索用户电脑中的E-MAIL地址，向外发送标题为：“YOUR PAYPAL.COM ACCOUNT EXPIRES”，附件为：“www.***paypal.com.scr”的带毒邮件，使病毒在网上大量泛滥，导致网络阻塞。
反病毒专家建议：建立良好的安全习惯，不打开可疑邮件和可疑网站；关闭或删除系统中不需要的服务；很多病毒利用漏洞传播，一定要及时给系统打补丁；安装专业的防毒软件进行实时监控，平时上网的时候一定要打开防病毒软件的实时监控功能。
知识库编号： RSV0512286
内容分类： 蠕虫病毒
关键词： 小邮差;Worm.Mimail.I
适用操作系统：Windows 操作系统
适用操作系统补丁版本：全部补丁适用
“小邮差变种I”(Worm.Mimail.I)病毒档案。
病毒评估
警惕程度：★★★★
发作时间：随机
病毒类型：蠕虫病毒
传播途径：邮件
依赖系统: WINDOWS 9X/NT/2000/XP
病毒介绍
2003年11月17日，瑞星全球反病毒监测网截获了恶性蠕虫“小邮差”病毒的最新变种：“小邮差变种I(Worm.Mimail.I)”，据了解，该病毒是“小邮差”病毒家族的第9个变种，该病毒变种并不象上几个病毒变种那样攻击某些网站，而是伪装成信用卡信息填写栏来骗取用户的信用卡信息，经常进行线上交易的用户要特别注意该病毒的动向，以免中招，给自己造成不必要的经济损失。
病毒运行后会释放出c:pp.hta、c:pp.gif两个病毒文件，并用运行其中的一个文件，这时就会出现一个假的信用卡信息填写栏，如果用户信以为真而填写上自己的信用卡信息的话，这些信息就会被病毒保存在c:ppinfo.sys文件内，然后通过网络发送到病毒作者指定的信箱。另外该病毒会搜索用户电脑中的E-MAIL地址，向外发送标题为：“YOUR PAYPAL.COM ACCOUNT EXPIRES”，附件为：“www.***paypal.com.scr”的带毒邮件，使病毒在网上大量泛滥，导致网络阻塞。
病毒的特性、发现与清除
1. 该病毒运行后首先将自己复制到system目录下路径为：%system32%svchost32.exe，用户可以在计算机中查找该病毒文件，找到后删除。
注意：%system32%一个变量，它是指它指的是NT操作系统安装目录中的系统目录，默认是：“c:Winntsystem32”。
2. 病毒会修改注册表的自启动项：“HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun”，在其中添加：“SvcHost32”的病毒键值，用户可以利用REGEDIT等注册表编辑工具查找该病毒键值，找到后删除。
3. 病毒会放出c:pp.hta和c:pp.gif文件并用IE启动该hta文件，（该脚本为一个假的信用卡信息 填写栏），病毒还会利用该脚本把用户输入的信用卡信息记录到c:ppinfo.sys文件内，用户可查找这几个文件，找到后删除。
4. 病毒会搜索：com. Wav. Cab. Pdf. Rar. Zip. Tif. Psd. Ocx. Vxd. Mp3. Mpg. Avi. Dll. Exe. Gif.jpg. Bmp这些类型的文件，在其中寻找有效的电子邮件地址，将这些地址记录到el388.tmp文件里。
5. 病毒会通过向外发送带毒邮件的方式来阻塞网络,
邮件标题为：?
YOUR PAYPAL.COM ACCOUNT EXPIRES
内容为：?
Dear PayPal member,PayPal would like to inform you about some important
information regarding your PayPal account. This account, which is
associated with the email address.
Will be expiring within five business days.? We apologize for any inconvenience
that this may cause, but this is occurring because all of our customers
are required to update their account settings with their personal information…
We are taking these actions because we? are
implementing a new security policy on
our website to insure everyone's absolute? privacy. To avoid any interruption in
PayPal
services then you will need to run the? application that we have sent with this
email (see attachment) and follow the instructions.?
Please do not send your personal information through email, as it will not be as
secure IMPORTANT! If you do not update your
information with our secure application
within the next five business days then we will be forced to deactivate your
account and you will? not be able to use your PayPal account any longer.
It is strongly recommended that you? take a few minutes out of your busy
day and complete this now…
DO NOT REPLY TO THIS MESSAGE VIA EMAIL!
This mail is sent by an automated message
system and the reply will not be received?
Thank you for using PayPal
附件名：?
www.***paypal.com.scr ，如果用户收到有以上内容的邮件，请直接删除该邮件，不要运行附件。
用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了“小邮差变种I(Worm.Mimail.I)”病毒。
解决方案
1、瑞星杀毒软件16.01版已可清除此病毒，目前瑞星用户只需升级到最新版本即可彻底拦截此病毒。
2、对于手中没有杀毒软件的用户，可以根据以上提示进行手工清除，也可以到http://it.rising.com.cn/service/technology/RS_Mimail.htm网址下载免费的小邮差病毒专杀工具清除该病毒。