魔头变种病毒袭来 感染电脑变FTP服务器(图)

魔头变种病毒袭来 感染电脑变FTP服务器 (图) 11月24日趋势科技发布中度风险病毒警报，截获新的魔头变种病毒（WORM_MYTOB.MX）。这是今年以来魔头病毒家族的第四次侵袭。MOYTOB.MX的最新特点是受病毒感染的机器可能会被变成FTP服务器，从而使恶意用户可以上传或下载文件。并且一旦系统感染这个病毒，系统运行速度将明显减慢，并不断自动向外群发附件带有病毒自身拷贝的病毒邮件。魔头新变种MX主要感染地区是欧洲，并且趋势科技也已收到部分来自中国用户的病毒感染报告。

　　趋势科技全球防毒研发暨技术支持中心 TrendLabs 分析指出，病毒通过SMTP引擎可以很容易的发出邮件信息，而不需要使用其它的发送邮件的应用程序，例如Microsoft Outlook。病毒的样本邮件如下图：



　　魔头病毒还会从IE的临时文件夹和带有特殊扩展名的文件中搜集目的邮件地址。另外，也会从用户的Windows通讯录（Windows Address Book）中获取收件人地址。收到邮件的用户会认为该邮件来自已知的资源，从而运行其中的附件文件。

　　病毒还会使用一个名称列表伪装发件人。并通过对搜集到的邮件地址中的邮件服务器字符串添加不同的域名，组成新的邮件地址。

　　该病毒可以通过网络进行传播。它对网络中的共享文件夹进行搜索并尝试在这些文件夹中产生自身的拷贝文件。病毒还会产生一些任意的IP地址，并尝试在这些IP地址机器的默认共享中产生病毒的自身拷贝。病毒使用当前用户账户中的信息登陆受密码保护的共享。

　　该病毒还具有后门功能。它使用不同的端口连接到IRC服务器并加入到一个特殊的IRC频道，监听来自远程恶意用户的指令。通过这种恶意行为，远程用户可以控制受感染机器，危害系统的安全。

　　该病毒还可以利用一个任意的端口建立一个FTP（File Transfer Protocol）服务器。一旦受感染系统成为FTP服务器，远程用户就会在未经允许的情况下下载或上传文件。

　　趋势科技提醒广大计算机用户，如果不幸遇到这种病毒，请首先结束病毒程序，该操作结束内存中运行的病毒进程。然后，从注册表中删除自动运行键，删除注册表中的自动运行键可以防止病毒在每次系统启动的时候运行。最后，清除注册表中由病毒产生的其他病毒键。需要提醒的是，针对运行Windows XP的用户必须禁用系统还原，从而可以对受感染的系统进行全面扫描。 运行其他Windows版本的用户可以不需要处理上面的附加说明。

　　紧急解救方法：

　　请趋势科技用户将病毒码升级到2.967.00，TSC升级至682。其它的网络用户可以使用趋势科技的 免费在线病毒扫描器（Housecall）。

　　病毒码下载地址：

　　http://support.trendmicro.com.cn/Anti-Virus/Main-Pattern/lpt967.zip

　　TSC工具下载地址：

　　http://support.trendmicro.com.cn/Anti-Virus/DCT/DCT3.9_1020_P682.zip