“白宫”病毒VBS_WhiteHo@MM 介绍

白宫”病毒VBS_WhiteHo@MM 介绍

--------------------------------------------------------------------------------

(瑞星编译)

病毒名称：VBS_WhiteHo@MM
大小：1,590 字节

别名：I-Worm.Whitehome (AVP), VBS.Whitehome (CA), VBS.Whitehome.A@mm (NAV), VBS_WHITEHOME.A (Trend), WSH/Whitehome-A (Sophos) 

这是一个乱发邮件的病毒，它会向地址簿中的所有用户发送邮件，并将自身代码复制到镜像驱动器中，用户收到的邮件内容从下列文本中随机选择：

"Thanks for helping me!"
"The police are investigating the robbery"
"an application for a job"
"The aspects of an application process pertinent to OSI"
"What a pleasant weather. Why not go out for a walk?"
"These countries have gone / been through too many wars"
"We've fixed on the 17th of April for the wedding"
"The wind failed and the sea returned to calmness."
"the sitting is open!"
"" (blank)

附件为：README.HTML
当运行附件时，其中的javascript代码将在WINDOWS SYSTEM目录中创建下列文件：

Mdm.vbs (A copy of the virus in VBScript form)
user.dll (A copy of the virus in VBScript form)
system.dll (A copy of the virus in JavaScript form)
Readme.html (2 copies of the virus in JavaScript form, back to back)

其中vbscript脚本被以Profile.vbs文件名保存在WINDOWS目录中。

蠕虫创建下列注册键，以便在每次系统启动后自动运行蠕虫脚本：
HKLM\Software\Microsoft\Windows\CurrentVersion\
Run\Mdm=C:\WINDOWS\SYSTEM\Mdm.vbs
HKLM\Software\Microsoft\Windows\CurrentVersion\
RunServices\Profile=C:\WINDOWS\Profile.vbs

自动批处理文件 Autoexec.bat被覆盖，其中包含这样的指令，如果username, computername, 或 domain name中包含下列文本串，将删除C盘上的所有文件及文件夹：

white home
central intelligence agency
bush
american stock exchang
chief executive

如果系统日期中的月+日=75，那么病毒将被复制到C:\con\con\75.htm文件中，一个新的注册键被创建：

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\75=75.htm

本地及远程驱动器中的.htm, .html, .plg, 和 .asp 文件，如果其大小小于100,000字节，病毒将其自身代码添加到这些文件的末尾，而所有的.vbs文件，如果其大小小于100,000字节，则被病毒代码覆盖。
当蠕虫的发邮件功能被启动时，邮件还被同时发送到president@whitehouse.gov, vice.president@whitehouse.gov, first.lady@whitehouse.gov, 或 mrs.cheney@whitehouse.gov无附件。