病毒名稱：Script.RedLof.htm
RedLof病毒病毒別名：紅色結束符
病毒類型：腳本病毒
發作時間：隨機
傳播方式：網路/檔案
感染對象：檔案
警惕程度：★★★★
傳播方法
RedLof是一個具有加密、多變屬性的病毒。它通過Microsoft的Outlook和Outlook EXpress郵件系統傳播。
首先，RedLof將感染"Program Files\Common Files\Microsoft Shared\Stationery\"目錄中的Blank.htm，如果不存在則建立此檔案。
為了便於通過outlook傳染，病毒更改了如下的註冊表鍵值：
| HKEY_CURRENT_USER\Identities\"&DefaultId&"\Software\Microsoft\Outlook Express\(User ID)\Mail\Compose Use Stationery = "1" |
| HKEY_CURRENT_USER\Identities\"&DefaultId&"\Software\Microsoft\Outlook Express\(User ID)\Mail\Stationery Name = "blank.htm" |
| HKEY_CURRENT_USER\Identities\"&DefaultId&"\Software\Microsoft\Outlook Express\(User ID)\Mail\Wide Stationery Name" = "blank.htm" |
| HKEY_CURRENT_USER\Software\Microsoft\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings\0a0d020000000000c000000000000046\001e0360","blank" |
| HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings\0a0d020000000000c000000000000046\001e0360","blank" |
| HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Common\MailSettings\NewStationery","blank" |
這樣，感染病毒的blank檔案就成為outlook預設使用的模版檔案。
當（用戶/系統）從HKEY_CURRENT_USER\Identities\Default User ID讀取User ID時，病毒將更改.dll後綴的檔案以便運行病毒腳本，而且病毒將建立一個vbs腳本檔案Kernel.dll在windows目錄中。
更改的相關註冊表鍵值如下：
| HKEY_CLASSES_ROOT\.dll\ = "dllfile" |
| HKEY_CLASSES_ROOT\.dll\Content Type = "application/x-msdownload" |
| HKEY_CLASSES_ROOT\dllfile\DefaultIcon\ = "HKEY_CLASSES_ROOT\vxdfile\DefaultIcon\" |
| HKEY_CLASSES_ROOT\dllfile\ScriptEngine\ = "VBScript" |
| HKEY_CLASSES_ROOT\dllFile\Shell\Open\Command\ = "Windows\System\WScript.exe ""%1"" %*" |
而且更改windows啟動時的相關內容：
| HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Kernel32 |
Redlof還會感染Windows\Web目錄下的folder.htt檔案，並將此染毒檔案拷貝到desktop.ini指向的目錄中。由於folder.htt是Windows Explorer瀏覽檔案時卻省打開的檔案，因此當用戶瀏覽檔案時病毒代碼便會被執行。
Redlof病毒會感染如下後綴名的檔案：
.HTML, .HTM, .VBS, .HTT, .ASP, .JSP, .PHP。此病毒運行時會利用2000年發現的一個系統的安全漏洞，微軟已經發布了相關的補丁檔案。詳情請見：http://www.microsoft.com/technet/security/bulletin/MS00-075.asp
發作現象以及解決方案
發作現象：
此病毒會有如下特徵，如果用戶發現計算機中有這些特徵，則很有可能中了此病毒：
一、如果對腳本檔案比較熟悉，比如說網頁設計人員等，可以查找一些自己熟悉的vbs,htm, html等類型的檔案，用編輯工具查看其內容，看是否能發現可疑代碼。
二、病毒會在感染資料夾時，產生兩個病毒檔案：desktop.ini和folder.htt。
三、該病毒會使計算機運行速度變慢。
1、用戶如果在自己的計算機中發現以上全部或部分現象，則很有可能中了“紅色結束符”（Script.RedLof.htm）
RedLof病毒2、用戶在防毒過程中要關閉所有WINDOWS視窗，禁止使用WEB方式瀏覽“資源管理器”或“我的電腦”等。
3、在Windows作業系統環境下，要打開檔案監控功能，先查殺記憶體然後在查殺所有硬碟檔案。
4、在殺完毒之後應立即重新啟動計算機。
5、如果用戶在Windows作業系統環境下不能完全地清除此病毒，請到純DOS操作環境下進行防毒，將此病毒全部清除掉。
手動清除方法
1:用查找檔案的方式找到kernel.dll這個檔案,刪除.用regedit打開註冊表,查找所有調用kernel.dll檔案的鍵值,刪.
2:用檔案查找方式找到所有folder.htt檔案,刪掉大小為23K的檔案,和相應目錄下的desktop.ini檔案,其中c:/windows/web下的那個folder.htt不要刪,從別的機子上拷貝乾淨的folder.htt到自己的機子,用記事本打開,複製裡面的代碼,到感染了病毒的folder.htt檔案,保存即可.
3:最後重啟機子,打開我的電腦,隨便用WEB放式打開幾個資料夾,看是否會自動生成folder.htt和desktop.ini兩個檔案,(有的機子只生成fold.htt一個檔案),注意這兩個檔案為隱藏檔案,要在檔案選項里,設定為"顯示所有檔案",如沒有,病毒以清除.
變種介紹
1.Script.RedLof.Htm.e
破壞方法：
此病毒是RedLof病毒的變種,擁有極強的變形功能.病毒將自己的代碼隨機組合,全部的關鍵代碼一律變形.感染該病毒的機器在瀏覽資料夾時會變慢.
對系統的破壞如下：
一, 將%WINDOWS%\\web\\Folder.htt 保存到%WINDOWS%\\system32\\setup.txt和%WINDOWS%\\system32\\desktop.ini 保存到%WINDOWS%\\system32\\inet.vxd,感染%WINDOWS%\\web\\Folder.htt.
二,病毒從後向前枚舉用戶磁碟盤符.每次感染五個路徑.
1)如果當前資料夾沒有folder.htt或Desktop.ini,則感染整個資料夾的htm,html,asp,php,jsp,vbs檔案.
2)在當前資料夾添加兩個隱藏檔案:folder.htt和Desktop.ini.folder.htt感染病毒.
3)病毒不重複感染.發現檔案中包含Execute(\",則認為已經感染.
RedLof病毒三,對註冊表的修改:
1)HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Kernel32,值為%windows%\\SYSTEM\\Kernel.dll或%windows%\\SYSTEM\\Kernel32.dll
2)修改\"HKEY_CLASSES_ROOT\\.dll\"和\"HKEY_CLASSES_ROOT\\dllfile\"的系列子鍵
3)修改OutLook的默認頁設定,指向病毒.
傳播方法：
感染該病毒的機器在瀏覽資料夾時會變慢.
2.Script.RedLof.Head.e
破壞方法：
RedLof病毒的變種,擁有極強的變形功能.病毒將自己的代碼隨機組合,全部的關鍵代碼一律變形.
對系統的破壞如下：
一, 將%WINDOWS%\\web\\Folder.htt 保存到%WINDOWS%\\system32\\setup.txt和%WINDOWS%\\system32\\desktop.ini 保存到%WINDOWS%\\system32\\inet.vxd.感染%WINDOWS%\\web\\Folder.htt.
二,病毒從後向前枚舉用戶磁碟盤符.每次感染五個路徑.
1)如果當前資料夾沒有folder.htt或Desktop.ini,則感染整個資料夾的htm,html,asp,php,jsp,vbs檔案.
2)在當前資料夾添加兩個隱藏檔案:folder.htt和Desktop.ini.folder.htt感染病毒.
3)病毒不重複感染.發現檔案中包含Execute,則認為已經感染.
三,對註冊表的修改
1)HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Kernel32,值為%windows%\\SYSTEM\\Kernel.dll或%windows%\\SYSTEM\\Kernel32.dll
2)修改\"HKEY_CLASSES_ROOT\\.dll\"和\"HKEY_CLASSES_ROOT\\dllfile\"的系列子鍵
3)修改OutLook的默認頁設定,指向病毒.
傳播方法：
感染該病毒的機器在瀏覽資料夾時會變慢.
3.Script.RedLof.Vbs.e
破壞方法：
RedLof病毒的變種,擁有極強的變形功能.病毒將自己的代碼隨機組合,全部的關鍵代碼一律變
對系統的破壞如下：
一,將%WINDOWS%\\web\\Folder.htt 保存到%WINDOWS%\\system32\\setup.txt和%WINDOWS%\\system32\\desktop.ini保存到%WINDOWS%\\system32\\inet.vxd.感染%WINDOWS%\\web\\Folder.htt.
二,病毒從後向前枚舉用戶磁碟盤符.每次感染五個路徑.
1)如果當前資料夾沒有folder.htt或Desktop.ini,則感染整個資料夾的htm,html,asp,php,jsp,vbs檔案.
2)在當前資料夾添加兩個隱藏檔案:folder.htt和Desktop.ini.folder.htt感染病毒.
3)病毒不重複感染.發現檔案中包含Execute(\",則認為已經感染.
三,對註冊表的修改
1)HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\Kernel32, 值為%windows%\\SYSTEM\\Kernel.dll或%windows%\\SYSTEM\\Kernel32.dll
2)修改\"HKEY_CLASSES_ROOT\\.dll\"和\"HKEY_CLASSES_ROOT\\dllfile\"的系列子鍵
3)修改OutLook的默認頁設定,指向病毒.
傳播方法：
感染該病毒的機器在瀏覽資料夾時會變慢.
相關媒體報導
用戶需警惕新郵件病毒“RedLof”
2002年，一個名為RedLof的病毒正在以較強的蔓延性廣為傳播，據介紹：RedLof是一個具有加密、多變屬性的病毒，主要通過Microsoft的Outlook和Outlook EXpress郵件系統傳播，是近段時期相對較為活躍的病毒之一，同時也具有較高的破壞性。
據了解，RedLof病毒首先將感染Program Files\Common Files\Microsoft shared\Stationery\"目錄中的Blank.htm，如果不存在則建立此檔案。同時， 為了便於通過outlook傳染，病毒會更改註冊表鍵值，這樣，感染病毒的blank檔案就成為outlook預設使用的模版檔案。
當（用戶/系統）從HKEY_CURRENT_USER\Identities\Default User ID讀取User ID時，病毒將更改.dll後綴的檔案
RedLof病毒此外，Redlof還會感染Windows\Web目錄下的folder.htt檔案，並將此染毒檔案拷貝到desktop.ini指向的目錄中。由於folder.htt是Windows Explorer瀏覽檔案時卻省打開的檔案，因此當用戶瀏覽檔案時病毒代碼便會被執行。
“紅色結束符II”死灰復燃
2002年六月在網上瘋狂傳播的“紅色結束符”，歷經半年的潛遁，於2003年死灰復燃,並被瑞星全球反病毒監測網截獲。“紅色結束符II”（Script.Redlof.d）病毒的撰寫者對紅色結束符病毒進行了一次完全的改版，傳播速度更快、危害程度更高。
該病毒運行後會感染機器中的大量網頁類型檔案，並在電腦的所有資料夾中都放入兩個隱藏的病毒體，因此變得更為詭秘：用戶不用雙擊該病毒體，只要觀看被感染的目錄，病毒便可運行。
病毒大量運行並進行互動感染，會消耗大量的系統資源，最終甚至會導致計算機系統崩潰。這時即使是防毒軟體也沒有資源運行，有鑒於此，用戶應該升級最新病毒庫，打開實時監控，以防為主。
“紅色結束符II”（Script.Redlof.d）病毒的新特性：
一、植入更新的變形引擎，變形更加厲害。
該病毒會將自己的代碼隨機組合，全部的關鍵代碼一律變形，變形更加厲害，更加難以查殺。
二、不重複感染，感染速度更加迅速
該病毒用字元串“Execute("”來進行重複感染判斷，如果發現被感染的檔案中含有該字元串,則不進行重複感染，大大增加了病毒感染速度。
三、尋找OUTLOOK, 進行郵件傳播。
該病毒會尋找OUTLOOK和OUTLOOK EXPRESS系統，發現後會將自身加入其中，通過郵件向外播擴散，另外該病毒還會感染信紙，喜歡使用信紙的用戶會不知不覺發將病毒傳播出去。
相關下載
下載紅色結束符(Redlof)病毒專殺工具 http://it.rising.com.cn/service/technology/RS_Redlof_download.htm
紅色結束符(Redlof)病毒專殺工具 1.1 http://www.onlinedown.net/soft/6211.htm
常見計算機病毒
| 隨著電腦的普及，幾乎所有的電腦用戶都已知道“計算機病毒”這一名詞。對於大多數計算機用戶來說，談到“計算機病毒”似乎覺得它深不可測，無法琢磨。那么比較常見的病毒有哪些呢？ |
