Sality专杀（专杀已更新请看4楼）

悠嘻猴

本款软件由上海山丽信息安全有限公司研发，
; Y+ ~5 d+ V0 z" L- [! g" a  O软件名称：Sality专杀
1 l8 `7 v( E: Q软件类别：专杀工具 7 Y7 l( H, a/ @0 ]7 l  b& F, c
软件版本：
4 q9 C4 L5 @# h! E: {$ b软件大小：78.58KB
4 Q. H) ^5 ]! S4 C/ R) @应用平台：Win2003/WinXP/Win2000/NT/WinME/Win9X/
& m3 S# u$ q: u3 w6 K' H: Q* v% s3 r更新时间：2008-04-22 17:58:10 ; @  E' D2 {% ~+ ^
授权方式：免费软件
/ q, g/ U" x8 j- j
# r! {  H# z7 `. ^软件说明
2 }6 t+ ?% X7 Z病毒评估
4 p* L- o' ^4 q  H  \
/ J+ q. H" Y6 ^6 y7 Z9 K. E! k2 V7 v. r  o
病毒名称： Sality蠕虫变种Q
- u9 Q" G# @2 u3 A* l2 R4 C' q病毒名称英文：Win32.Sality.q & u8 s: _7 Z. g7 Y
病毒类型：感染型 # m* G6 l1 Z  H% b2 x
危险级别：★★★☆
0 z$ g9 J& F# h! U2 {: E传播方式：通过网络共享传播 8 |  Q- z! H, ?! K3 |& B
受影响的系统： Windows 2000, Windows XP, Windows Server 2003 * f8 ^- H+ j2 m: S9 j) h4 L
未受影响的系统：Windows 3.x, Macintosh, Unix, Linux
3 u  s- E' S/ f+ T3 j: ]: [病毒危害：9 k* ^9 n. T: ~" F- ]8 o1 `' ^/ j, y9 `7 M

' {. F7 P/ u& {) F
5 c% r+ ?  }; p" E( s1. 该病毒首先释放病毒体vcmgcd32.dll到%system32%文件夹下。然后加载vcmgcd32.dll到内存。
% u/ R0 p( @) J* ~, i1 J  C- ?2. vcmgcd32.dll将被注入到其他进程中。 * f, E/ C, e5 Z
3. 感染其他可执行程序：枚举注册表RUN下的自启动项得到程序路径,从而进行感染。 / z5 v4 Y* H- b, Q
4.窃取系统信息，并将信息发送到指定的mail.ru域。
4 Z) Q5 t6 J$ U3 ]1 M5. 感染本机 .vdb, .avc, .key, .exe, .scr文件。 9 d8 s9 }! Q6 ?
传播形式：, y! {% E. u6 J5 N' v0 {

) m9 N- x- a! y, h
, L1 K/ A) J) A5 _该病毒属于多形态病毒，感染Win32 PE可运行程序。Win32.Sality.q病毒通过Win32/Bagle family变体下载。该病毒解密自身并在%System32%目录中生成一个vcmgcd32.dll文件。vcmgcd32.dll文件被注入其它的运行程序并运行其主程序代码。该病毒查找本地C:\到 Z:\ 的Windows PE文件进行感染。该病毒不感染大小在4K以下或者在20M以上的文件。病毒在它的固有码运行入口替代代码，并添加一个加密的病毒副本到主文件，随后运行主程序代码来隐藏病毒的存在。
  d8 p2 A+ ~. W" e预防和处理办法:$ |# L/ }8 I! Z7 y/ ?& h) w8 q+ i1 h

  B( f" c3 H6 I
6 n* k. |* H4 j+ J# I5 U' e: R5 d1 开启杀毒软件进行全面监控，并且及时更新病毒库。 6 I0 n0 j) N! f  ]: e
2 及时升级系统漏洞。 ; v: [+ o& W. w+ h$ O
　　 　, W' G, V- Z( b; x2 w3 O9 i5 {2 V
! @. z+ P2 }. ?# V
[ 本帖最后由 悠嘻猴 于 2008-9-9 13:14 编辑 ]

mgdxwww

顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶
5 S6 V! W: f" `顶顶顶顶顶顶　顶顶顶顶顶顶顶顶顶顶　顶顶顶　　顶顶顶顶顶
3 O) b) X" \7 |! n8 U顶顶顶顶顶顶　　　　顶顶顶顶顶顶顶　顶顶顶顶　顶顶顶顶顶
" E3 M+ h' `0 k& C顶顶顶顶顶　　　顶顶顶顶顶顶顶顶顶　顶顶顶顶　　顶顶顶顶
& o# d1 |, w  L' |7 P5 l顶顶顶顶　　顶顶顶顶顶顶顶顶顶顶顶顶　顶　　　顶顶　顶顶( D: v3 Q) ~& u# d
顶顶　　顶　顶顶顶顶顶顶顶顶顶顶　　顶顶顶　顶顶　　　顶
5 L4 k( k9 a' @5 W( b& N顶顶顶顶顶　顶顶顶顶顶顶顶顶顶　　　顶顶顶　　　顶顶顶顶
7 Z) V& u" I4 W0 L/ K; ^顶顶顶顶　　　顶顶顶顶顶顶顶顶顶顶　顶　　顶　顶顶顶顶顶, i( F' ^* {% l6 L' Y! P7 ]& v. H
顶顶顶顶顶顶顶　顶顶顶顶顶顶顶顶顶　　顶　　顶　　　顶顶! K( ?: c! K: ~' |# s5 w
顶顶　　　顶　　顶顶顶顶顶顶顶顶顶　顶顶顶顶　　顶顶顶顶$ P( t  c" Z, E! X) q7 S3 h
顶　顶顶　　　顶顶顶顶顶顶顶顶　　　顶　　　顶　顶顶顶顶, i& ]6 _1 g' H
顶顶顶顶顶　　顶顶顶顶顶顶顶顶　顶　　顶顶　顶　顶顶顶顶
" E' m: ~! K3 H. W: @$ K/ F顶顶顶顶　　　　顶顶顶顶顶顶　顶顶　顶顶顶顶顶　顶顶顶顶5 X: f; Y6 b3 Z' u0 h
顶顶顶　　顶顶　　　顶顶顶顶　顶　　顶顶　顶顶　顶顶顶顶
# i7 A" @4 A6 m1 [% Y) l- C顶　　　顶顶顶顶　　　　顶顶顶顶顶　顶顶顶　　　顶顶顶顶
6 K( ^, v4 _) A& `  D* i顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶

mgdxwww

顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶
$ m. L9 r- _! b+ l2 l顶顶顶顶顶顶　顶顶顶顶顶顶顶顶顶顶　顶顶顶　　顶顶顶顶顶) K  {* F- W& A; U0 v0 m1 i
顶顶顶顶顶顶　　　　顶顶顶顶顶顶顶　顶顶顶顶　顶顶顶顶顶( i  D) [, q6 N/ s& |& L
顶顶顶顶顶　　　顶顶顶顶顶顶顶顶顶　顶顶顶顶　　顶顶顶顶
( f6 p$ }: p5 |6 z5 F( \. J顶顶顶顶　　顶顶顶顶顶顶顶顶顶顶顶顶　顶　　　顶顶　顶顶9 z: r# O+ _% E$ c3 v  C# [' m
顶顶　　顶　顶顶顶顶顶顶顶顶顶顶　　顶顶顶　顶顶　　　顶
' K) Z( k( X# `  k1 [9 _$ }$ V; x顶顶顶顶顶　顶顶顶顶顶顶顶顶顶　　　顶顶顶　　　顶顶顶顶
+ L+ C3 n& {8 z" \' @" U, z/ E顶顶顶顶　　　顶顶顶顶顶顶顶顶顶顶　顶　　顶　顶顶顶顶顶+ `4 c5 x# l: U
顶顶顶顶顶顶顶　顶顶顶顶顶顶顶顶顶　　顶　　顶　　　顶顶
9 W( P& H* `9 v, h5 O3 i( o+ B. i3 w顶顶　　　顶　　顶顶顶顶顶顶顶顶顶　顶顶顶顶　　顶顶顶顶
5 i! F6 a& F8 c* e! i+ g  V顶　顶顶　　　顶顶顶顶顶顶顶顶　　　顶　　　顶　顶顶顶顶# x. p# y% H+ W4 B# L: e3 E% b+ c
顶顶顶顶顶　　顶顶顶顶顶顶顶顶　顶　　顶顶　顶　顶顶顶顶
- j/ R0 O. x" L顶顶顶顶　　　　顶顶顶顶顶顶　顶顶　顶顶顶顶顶　顶顶顶顶
) G7 x3 z' C" |顶顶顶　　顶顶　　　顶顶顶顶　顶　　顶顶　顶顶　顶顶顶顶- D# {$ o7 `0 ~4 w8 b6 k, n
顶　　　顶顶顶顶　　　　顶顶顶顶顶　顶顶顶　　　顶顶顶顶
4 u! G2 @7 a7 T: i顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶

悠嘻猴

Sality专杀 9月4日更新版  P1 p* q0 G8 C' u' R
软件名称：Sality专杀 % m0 U' k- Q7 b  n! K& R
软件类别：专杀工具 2 e# n# b8 f/ u
软件版本： 6 \3 \) q2 ^& Q, l0 _  X7 [; m
软件大小：78.58KB
3 ]# P' b) z$ v应用平台：Win2003/WinXP/Win2000/NT/WinME/Win9X/
! a9 C4 l. O9 z0 m& D更新时间：2008-09-04 15:42:52 7 L7 T. ~; \. [  [/ l# s
授权方式：免费软件 & g& _+ e, m' Q. S2 N
7 a6 h4 _  l9 C$ f8 B

% y  O0 t& c  D- `( u( V9 p! ^1 y6 ~3 h% G软件说明* w0 O2 B! p0 X' B. n

( w% o4 r; W- F5 `* o

( o; |& }1 L5 j2 L5 W8 p4 e
0 c2 ^' h; O; i+ ^8 r$ ]
8 f  m+ `* x. F+ O! }1 o+ H, ^* A
病毒评估
1 d( T8 K& D8 \% k8 p% b, t; a  n3 K. H& B
$ e; K5 m6 @( `$ u
病毒名称： Sality蠕虫变种Q
  R; B4 N, ?- H; `2 J' c, h7 T0 q病毒名称英文：Win32.Sality.q * S! |) {0 @: P  C' P2 R: v
病毒类型：感染型
7 X/ v2 x* Y8 O8 K2 E危险级别：★★★☆
+ ^: u2 u. ~! A5 R5 f1 k- h0 Y8 G传播方式：通过网络共享传播 2 \" ^" o" [* i+ P! m
受影响的系统： Windows 2000, Windows XP, Windows Server 2003 : k" k; T+ w4 ~" F  {7 H
未受影响的系统：Windows 3.x, Macintosh, Unix, Linux
  ~1 Q- E1 Z4 V病毒危害：$ q# x0 R0 n' G4 z. \2 _* Y
0 y! f* i4 T4 k
. N8 f% c# S/ M. {/ M; J. F: x* {
1. 该病毒首先释放病毒体vcmgcd32.dll到%system32%文件夹下。然后加载vcmgcd32.dll到内存。 6 y2 V# B& J# C6 M% h" @
2. vcmgcd32.dll将被注入到其他进程中。
7 I. F' Y+ E# b4 A  V9 |3 c) u3. 感染其他可执行程序：枚举注册表RUN下的自启动项得到程序路径,从而进行感染。
1 P1 b4 y3 f0 F! j5 ^: O4.窃取系统信息，并将信息发送到指定的mail.ru域。 : Q8 G! Q4 w: ?7 O
5. 感染本机 .vdb, .avc, .key, .exe, .scr文件。
9 ~; R% ]/ D! R2 Y传播形式：7 I( P) h. P- Y; \
* L+ r* A$ i1 L% m
4 P( z- m9 E1 n: ^
该病毒属于多形态病毒，感染Win32 PE可运行程序。Win32.Sality.q病毒通过Win32/Bagle family变体下载。该病毒解密自身并在%System32%目录中生成一个vcmgcd32.dll文件。vcmgcd32.dll文件被注入其它的运行程序并运行其主程序代码。该病毒查找本地C:\到 Z:\ 的Windows PE文件进行感染。该病毒不感染大小在4K以下或者在20M以上的文件。病毒在它的固有码运行入口替代代码，并添加一个加密的病毒副本到主文件，随后运行主程序代码来隐藏病毒的存在。
( `. w2 n( m7 d2 V$ ^) _- n0 Y, R" a预防和处理办法:
3 t( c6 c5 Y( ]% |' K
5 m* g$ w- {1 a9 Z3 T- k1 n' M
1 开启杀毒软件进行全面监控，并且及时更新病毒库。
6 h5 I5 R1 s1 i  f5 Y4 F2 及时升级系统漏洞。 ) t: w, {7 n3 g* h- S! y
　　 　
8 ~+ I3 r, }" j8 b2 s$ ~
, U& e9 ~1 \) ]6 z  O1 y[ 本帖最后由 悠嘻猴 于 2008-9-9 13:17 编辑 ]