夏天的植物和动物:爱情后门的后遗症解决方案

既然你说是后遗症，也就说已经把病毒清除啦。
假如光是需要改文件后缀名就比较简单。先打开隐藏文件的选项，接着搜索我的电脑，把所有.ZMX的文件搜索出来，全选，按右键入属性选项，取消隐藏。下载个“批量更名专家”工具，接着就看着办OK了。

爱情后门的后遗症解决方案
"恶邮差"变种U(即"爱情后门"变种V)分析报告

病毒信息：

病毒名称: Worm.Supnot.u
中文名称: 恶邮差变种U
威胁级别: 3A
病毒别名: 爱情后门变种V [瑞星]
密码杀手 [江民]
病毒类型: 蠕虫、后门
受影响系统:Win9x/Win2000/Winnt/WinXP/Windows Server 2003

技术特点：

· 病毒破坏：

1、发送大量病毒邮件阻塞网络和邮件服务器；
2、释放后门病毒
病毒将在系统中殖入远程后门代码，该代码，将响应远程恶意用户tcp请求建方一个远程
shell进程。（win9x为command.com，NT,WIN2K,WINXP为cmd.exe），可以对本地机器进行完
全控制。

3、释放通过QQ传播的病毒：“Win32.Troj.QQmsgSupnot”
该病毒通过发送诱惑信息导致用户上当，从而中毒，详情请参考该病毒报告。

4、病毒变向感染可执行文件
病毒可能会将EXE文件改名为ZMX文件，并设置属性为“隐藏”和“系统”，如：病毒搜索到
一个名为“Winword.exe”的文件，会将其改名“Winword.zmx”并设置属性“隐藏”和“系
统”，然后释放一个名为“Winword.exe”的病毒复本。
这个功能的条件是：病毒运行后，每隔一小时会检查系统中是否有“网络映射驱动器”和
“可移动驱器”，如果有，侧会进行上述变相的文件感染。

· 发作现象：共享目录会塞满此蠕虫的文件，一般容易辨认

· 系统修改：（点击查看详情）

A、自我复制到
%SYSDIR%\IEXPLORE.EXE
%SYSDIR%\kernel66.dll
%SYSDIR%\RAVMOND.exe
%SYSDIR%\SysBoot.EXE
%SYSDIR%\WinDriver.exe
%SYSDIR%\winexe.exe
%SYSDIR%\WinGate.exe
%SYSDIR%\WinHelp.exe
%DRIVER%\SysBoot.exe

B、病毒将释放一个DLL文件，此文件将在系统中殖入远程后门代码
%SYSDIR%\reg678.dll
%SYSDIR%\Task688.dll
病毒将释放一个利用QQ发送消息传播的病毒:"Win32.Troj.QQmsgSupnot"，相关文件名目录为：
%SYSDIR%internet.exe
%SYSDIR%svch0st.exe

C、添加以下键值
HKEY_CLASSES_ROOT\exefile\shell\open\command
(默认) : %SYSDIR%\WINEXE.EXE "%1" %*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"WinGate initialize" = "%SYSDIR%\WINGATE.EXE -REMOTESHELL"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"WinHelp" = "%SYSDIR%\WINHELP.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"Remote Procedure Call Locator" = "RUNDLL32.EXE REG678.DLL ONDLL_REG"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"Program In Windows" = "%SYSDIR%\IEXPLORE.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\RunServices
"SystemTra" = "%WINDIR%\SYSTRA.EXE /SYSTRA:KERNEL32.DLL"
在win9x下还修改系统文件：
WIN.INI
[WINDOWS]
"RUN" = "RAVMOND.EXE"
在win2k、NT、XP下注册服务：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ll_reg
Display Name = "ll_reg "
IMAGEPATH ＝ "RUNDLL32.EXE TASK688.DLL ONDLL_SERVER"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Management Instrumentation Driver Extension
Display Name = "Windows Management Instrumentation Driver Extension"
IMAGEPATH = "%SYSTEM%\WINDRIVER.EXE -START_SERVER"
病毒也将在每一个硬盘和可移动盘的根目录下建立一个文件：AUTORUN.INF的文件，内容为：
[AUTORUN]
Open="%DRIVER%:\SysBoot.EXE" /StartExplorer
其中%DRIVER%为相应的驱动器。
这样在用户打开该驱动器后将运行病毒

D、Windows弱口令密码试探攻击、放出后门程序、盗取密码

E、病毒利用mapi及搜出的email地址，对收信箱里的邮件进行回复（传播）。
邮件标题随机从病毒体内选出

F、当病毒被运行后每隔一定时间发送一次通知邮件给位于163.com的一个信箱,邮件内容为中毒系统的ip地址，以便利用病毒的后门进行控制

使用专杀工具：
用户也可以到http://www.duba.net/download/3/28.shtml免费下载恶邮差专杀工具，并进行该
病毒的清除，推荐到安全模式查杀。

· 手动清除：
该病毒手工清除比较困难，建议使用杀毒软件或专杀工具，推荐到安全模式查杀。
注意：如果您的机器上有“可移动磁盘”和“网络映射驱动器”时，请注意搜索所有的
“*.zmx”文件，找到后请将其后缀改名为exe。推荐使用专杀工具来清除，可以自动恢复被病
毒改名的正常文件。

cmd中通过下面这条命令改回属性：attrib -s -h *.zmx /s（在发现zmx文件的磁盘跟目录下运行，如：F:\>attrib -s -h *.zmx /s)

如果你嫌一个一个改文件后缀名很烦，可以新建一个txt文件。输入如下内容:
@dir /b /s *.zmx>zmx_file.txt
@for /f "delims==" %%a in (zmx_file.txt) do ren "%%a" *.exe
@del zmx_file.txt
然后保存成lovegate_rename_files.bat。把此文件copy到发现zmx文件的磁盘跟目录下，双击。