|
小心误入爱情森林，恶意网页是帮凶。8月23日下午，瑞星全球病毒监控中心首次截获了一个传染能力极强的恶性QQ病毒――“爱情森林”（Trojan.sckiss）。据瑞星公司的反病毒工程师介绍，此病毒会利用QQ软件，诱惑用户打开一恶意网页，而该网页会自动下载病毒并修改注册表产生破坏。 病毒类型：木马病毒
发作时间：随机
传播方式：邮件/网络/QQ诱骗
感染对象：网络
警惕程度：★★★★ 病毒介绍： 此病毒是已知的第一个利用QQ进行传播并破坏的恶性木马病毒。它利用本机QQ，在用户不知道的情况下向用户的好友发送一句消息：“http://sckiss.yeah.net 这个你去看看!很好看的”一旦登陆此网站，便会中毒。因为此网站的主页是一个恶意网页，它会自动下载“爱情森林”病毒并执行，从而对用户计算机造成破坏。 此病毒具有以下四大特色： 一、 利用邮件包装，形成自启动邮件。
病毒的原始文件是一个名为HACK.EXE的木马病毒，病毒作者为了能使病毒“初战告捷”,迅速占领用户计算机，利用了OUTLOOK的邮件漏洞，将原始病毒包装成一个可以预览执行的病毒邮件：s.eml，然后放入一个恶意网页中，等待下载。 二、 利用QQ工具，发送伪装信息。
如果用户不小心点击或预览了病毒邮件，病毒便可执行。病毒执行时会搜索用户的QQ程序，如果用户在线的话，病毒会伪装成用户，给用户的所有在线的好友发送一条用户无法查觉的隐藏信息，此信息的内容为：“http://sckiss.yeah.net 这个你去看看!很好看的”如果用户的好友在收到了此信息后，因为好奇而点击了此链接，则会进入一个恶意网页。 三、 利用恶意网页帮凶，导致病毒泛滥。
该恶意网页用JS语言编写，利用了JAVA EXPLOIT漏洞，所以不经用户的允许，便可以悄悄运行自动下载“爱情森林”病毒邮件（s.eml）并执行。然后此恶意网页会修改用户注册表进行破坏，将用户的IE标题改为：“http://sckiss.yeah.net/爱情森林”，使用户的“运行”菜单项无法使用,并且将用户的IE默认首页改为：“http://sckiss.yeah.net/”，此恶意网页还将此网址加入注册表中的RUN自启动项。这样以来，无论用户启动计算机还是启动IE浏览器，都可以自动链接到恶意网页,感染病毒。 四、 侵占系统目录，继续“生生不息”。
“爱情森林”病毒通过QQ发送信息之后，便开始进行本机的感染。病毒首先改名为：“EXPLORER.EXE”，然后将之拷贝到WINDOWS的系统目录（SYSTEM或SYSTEM32）下，这样用户即使发现也不会起疑心，然后病毒修改注册表，在RUN的自启动项中建立一个EXPLORER的键值，将病毒路径加入其中，一旦计算机重启，病毒便可自动运行，再次进行以上感染。 预防方法：
一、此病毒主要是以QQ诱骗为主，所以QQ的用户如果收到：“http://sckiss.yeah.net 这个你去看看!很好看的”之类的信息，请一定不要点击，以免中招。 二、如果用户发现硬盘上有s.eml的文件则极有可能是病毒，请将之删除，以免产生后患。
解决方法： 手工清除方法 爱情森林的清除：
(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。
(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值。 变种一的清除：
(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。
(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。
(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为intarnet=%windowssystem%rundll.exe"的键值。恢复HKEY_CLASSES_ROOTtxtfileshellopencommand的默认键值为Notepad %1。(其中%windowssystem%为Windows的系统文件夹)
(4)若根目录下存在文件setup.txt或mima.txt,将其删除。 变种二的清除：
(1)打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。或者重新启动到DOS下到system目录直接删除该木马程序。
(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值。 变种三的清除：
(1)打开任务管理器，结束掉RUNDLL和SYSEDIT32进程。
(2)删除系统文件夹(Win9x通常为Windowssystem,WinNt通常为WinNtsystem32)下名为RUNDLL.exe和sysedit32.exe的文件（文件大小为1781752字节）。
(3)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为intarnet=%windowssystem%rundll.exe"的键值。恢复HKEY_CLASSES_ROOTtxtfileshellopencommand的默认键值为Notepad %1。
(其中%windowssystem%为Windows的系统文件夹)
(4)恢复IE的设置。打开注册表编辑器，恢复HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMainStart Page，HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMainDefault_Page_URL，HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMainLocal Page的设置为原来的内容。 变种四的清除：
(1)先打开任务管理器，结束掉位于下面的那个Explorer进程，然后删除系统目录下的木马程序Explorer.exe。
或者重新启动到DOS下到system目录直接删除该木马程序。
(2)打开注册表编辑器，删除HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下名为Explorer的键值。
|
