概要
病毒別名：處理時間：2004-04-12
威脅級別：★
中文名稱：網路天空變種D
病毒類型：蠕蟲
影響系統：Windows 2000, Windows 95, Windows 98, Windows Me,
病毒行為:
netsky
編寫工具:
vc
傳染條件:
發作條件:
系統修改:
1,創建一個名為“【SkyNet.cz】SystemsMutex”的互斥體。此互斥體僅允許該蠕蟲的一個實例在記憶體中執行。
將自身複製為 %Windir%winlogon.exe。
2,將值：
"ICQ Net" = "%Windir%winlogon.exe -stealth"
添加到註冊表鍵：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
這樣，此蠕蟲便可在 Windows啟動時運行。
3,刪除以下值：
Taskmon
Explorer
Windows Services Host
KasperskyAV
這些值位於註冊表鍵：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
4,刪除以下值：
System.
msgsvr32
DELETE ME
service
Sentry
這些值位於註冊表鍵：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
5,刪除以下值：
d3dupdate.exe
au.exe
OLE
這些值位於註冊表鍵：
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
6,刪除值：
System.
該值位於以下註冊表鍵：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices
刪除註冊表鍵：
HKEY_CLASSES_ROOTCLSIDInProcServer32
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerPINF
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesWksPatch
發作現象:
1,如果時間介於 2004 年 3 月 2 日（星期二）的 6:00am 到 9:00am，PC 揚聲器將連續不斷地發出蜂鳴聲。 每次蜂鳴都將以隨機頻率、持續一段長度不等的時間。
2,在驅動器 C 到 Z 上掃描以下檔案類型，查找電子郵件地址：
.dhtm
.cgi
.shtm
.msg
.oft
.sht
.dbx
.tbb
.adb
.doc
.wab
.asp
.uin
.rtf
.vbs
.html
.htm
.pl
.php
.txt
.eml
使用它自己的 SMTP 引擎將其自身傳送到在上述位置找到的電子郵件地址，向每個地址傳送一次。 該蠕蟲使用可用的本地 DNS 伺服器（通過 API 檢索），執行 MX 查找來搜尋收件人地址。 如果本地 DNS 不可用，它將對以下硬編碼的伺服器列表執行查找：
145.253.2.171
151.189.35
193.141.40.42
193.189.244.205
193.193.144.12
193.193.158.10
194.25.2.129
194.25.2.129
194.25.2.130
194.25.2.131
194.25.2.132
194.25.2.133
194.25.2.134
195.185.185.195
195.20.224.234
2185.252.136
2185.252.73
2185.253.70
244.160.8
27.128.162
27.128.165
2191.74.19
25.97.137
62.155.255.16
此類電子郵件具有以下特徵：
發件人：<欺騙性地址>
主題：（下列之一）
Re: Your website
Re: Your product
Re: Your letter
Re: Your archive
Re: Your text
Re: Your bill
Re: Your details
Re: My details
Re: Word file
Re: Excel file
Re: Details
Re: Approved
Re: Your software
Re: Your music
Re: Here
Re: Re: Re: Your document
Re: Hello
Re: Hi
Re: Re: Message
Re: Your picture
Re: Here is the document
Re: Your document
Re: Thanks!
Re: Re: Thanks!
Re: Re: Document
Re: Document
訊息：（下列之一）
Your file is attached.
Please read the attached file.
Please have a look at the attached file.
See the attached file for details.
Here is the file.
Your document is attached.
附屬檔案：（下列之一）
your_website.pif
your_product.pif
your_letter.pif
your_archive.pif
your_text.pif
your_bill.pif
your_details.pif
document_word.pif
document_excel.pif
my_details.pif
all_document.pif
application.pif
mp3music.pif
yours.pif
document_4351.pif
your_file.pif
message_details.pif
your_picture.pif
document_full.pif
message_part2.pif
document.pif
your_document.pif
3,該蠕蟲避免向包含以下字元串的地址傳送電子郵件：
skynet
messagelabs
abuse
fbi
orton
f-pro
aspersky
cafee
orman
itdefender
f-secur
avp
spam
ymantec
antivi
icrosoft
