1、大小220K~240K左右，是个高波病毒变种。运行后，建立下面文件：

%SystemDir%\icntrl.exe

创建服务：NtDIC，服务描述：Nt network domain internet connectivity checker.

服务程序指向icntrl.exe。这样病毒可以随Windows系统自动启动。

 

2、通过多种系统漏洞传播，在传播过程中，会扫描局域网内的计算机，发送大量数据包，造成中毒计算机CPU占用率很高，局域网拥堵。

 

3、连接IRC服务器frayedendsofsanity.be接收并执行黑客命令。

 

botnet:

frayedendsofsanity.be:5599

##meth metal

 

这2个是高波的变种，请参考昨日病毒（2006.03.16-03.17）和昨日病毒（3月13日）

 

1、病毒运行后，将创建下列文件：
%SystemDir%\mssm32.exe, 21253字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft (R) Windows Security Manager" = %SystemDir%\mssm32.exe
这样，在Windows启动时，病毒就可以自动执行。

 

2、打开后门代理TCP端口24027，可供黑客远程使用，作为跳板，进行黑客行为。

 

3、感染计算机后，向sophos.inlandloan.com发送UPD包，报告感染信息。

 

1、病毒运行后，将创建下列文件：
%SystemDir%\wuass32.exe, 21953字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft (R) User Authorization Service" = %SystemDir%\wuass32.exe
这样，在Windows启动时，病毒就可以自动执行。

 

2、打开后门代理TCP端口3557，可供黑客远程使用，作为跳板，进行黑客行为。

 

病毒运行后，将创建下列文件：
%SystemDir%\dpnss32.exe, 21257字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft (R) Windows Data Execution Prevention Service" = %SystemDir%\dpnss32.exe
这样，在Windows启动时，病毒就可以自动执行。

开启后门代理端口TCP 7328, 黑客可以远程使用这些代理端口，将被感染计算机作为跳板（代理），进行黑客活动。

 

1、病毒运行后，将创建下列文件：
%SystemDir%\313.exe, 82709字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft System" = 313.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Microsoft System" = 313.exe
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft System" = 313.exe
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Microsoft System" = 313.exe
这样，在Windows启动时，病毒就可以自动执行。

 

2、利用多种系统漏洞进行传播。会扫描局域网内存在漏洞的计算机，发送大量数据包，可以造成局域网拥堵甚至瘫痪。
 
3、连接irc服务器221.2.51.204:65146，接收黑客命令。
botnet:
221.2.51.204:65146
#google g00gle

 

一个下载器，运行后首先从http://www.yeacool.net/update/update.txt得到要下载的程序列表，然后下载并运行列表上的网络程序。会安装播霸、Vika阅读器、快搜IE插件等。

 

1、病毒运行后，将创建下列文件：
%SystemDir%\bmnss.exe, 257024字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Critical Runtime Indexer" = bmnss.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Critical Runtime Indexer" = bmnss.exe
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Critical Runtime Indexer" = bmnss.exe
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Critical Runtime Indexer" = bmnss.exe
这样，在Windows启动时，病毒就可以自动执行。

 

2、利用多种系统漏洞进行传播。会扫描局域网内存在漏洞的计算机，发送大量数据包，可以造成局域网拥堵甚至瘫痪。
 
3、连接irc服务器64.33.201.123:6522，接收黑客命令。
botnet:
64.33.201.123:6522 nubbie
#oldone# oldboot

高波蠕虫变种。和昨日病毒（3月13日）中描述的样本功能几乎完全相同，只是应用了不同的加密压缩壳处理，生成的新变种。

1、mssvcc.exe运行后，将创建下列文件：
%SystemDir%\mssvcc.exe, 83387字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msconfig38" = mssvcc.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"msconfig38" = mssvcc.exe
这样，在Windows启动时，病毒就可以自动执行。
 
2、利用多种系统漏洞进行传播。会扫描局域网内存在漏洞的计算机，发送大量数据包，可以造成局域网拥堵甚至瘫痪。
 
3、连接irc服务器newircd.slateit1703.info:8080，接收黑客命令。
 
4、lup.exe运行后，将创建下列文件：
%SystemDir%\mssecure.exe, 82053字节
在注册表中添加下列启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"secures23" = mssecure.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"secures23" = mssecure.exe
这样，在Windows启动时，病毒就可以自动执行。