爱虫病毒的细节分析

VBS/LoveLetter.A蠕虫

VBS/LoveLetter.A 蠕虫的特征（见图）

VBS/LoveLetter.A 是一个基于 e-mail 的VBS（Visual Basic Script）蠕虫，它以一个电子邮件的附件到达您的邮箱(见图)，邮件的主题是 ILOVEYOU（全大写，无空格）。

e-mail 的正文：

请尽快查收来自我的邮件附件的LOVELETTER。

e-mail 带有名为 LOVE-LETTER-FOR-YOU.TXT.vbs 的附件。.VBS扩展名是否显示，依赖于系统的设置。

如果您收到了一封与以上所述相符的e-mail，您不要打开邮件的附件，并立即删除e-mail。

LoveLetter蠕虫通过产生如上所述的e-mail 传播，蠕虫自身作为邮件的附件，且发送给在Outlook 通讯簿中的所有收件人。在大的机构中，产生的大量e-mail 可能会使电子邮件服务器超载，处于瘫痪状态。

LoveLetter蠕虫传播的目标是Windows 98, 缺省安装的Windows 2000 和Windows NT 4.0以及安装了Windows Scripting Host(WSH)引擎的Windows 95系统。蠕虫使用不同的名字将自身复制到多重子目录中：

在Windows目录中的文件名是Win32DLL.vbs，在\Windows\system目录中的文件名为MSKernel32.vbs 和 LOVE-LETTER-FOR-YOU.TXT.vbs。

LoveLetter蠕虫修改注册表信息，以便它在下次启动时能运行：

HKElkjhflkafkljhsajdkhfkajshfklafhlkajfhs

C:\WINDOWS\SYSTEM\MSKernel32.vbs

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\Win

32DLL=C:\WINDOWS\Win32DLL.vbs

蠕虫还设置缺省的IE（Internet Explorer）主页，下载WIN_BUGFIX.exe 文件的一个副本，该文件看起来是一个“后门服务器”（backdoor server）。该文件在Web上真实的位置目前是关闭的。　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WinFAT32=C:\WINDOWS\SYSTEM\WinFAT32

LoveLetter蠕虫搜索所有的子目录，并用自身的副本覆盖（overwrite）扩展名为JPG, VBS, JS, JSE, CSS, WSH, SCT, HTA, MP3和MP2 的所有文件，给无VBS（non-VBS）后缀的文件名添加VBS扩展名。如：一个名为的文件将变为。下一次染毒文件被点击或被激活，蠕虫将开始传播。

如果IRC（在线聊天系统）客户在系统中出现，LoveLetter蠕虫将产生一个HTML文件，将自身发送到IRC通道中。