Worm.LovGate.v

爱情后门变种V(Worm.LovGate.v)病毒依赖系统：WINDOWS9X/NT/2000/XP，发现日期：2004年3月11日，病毒将在系统中殖入远程后门代码，该代码将响应远程恶意用户tcp请求方建一个远程shell进程。（windows9x为command.com，WindowsNT,Windows2000,WindowsXP为cmd.exe），可以对本地机器进行完全控制。释放通过QQ传播的病毒：“Worm.LovGate.v.QQ”该病毒通过发送诱惑信息导致用户上当，从而中毒，详情请参考该病毒报告。

爱情后门变种V(Worm.LovGate.v)病毒档案

知识库编号： RSV0512258

内容分类： 蠕虫病毒

关键词： 爱情后门;Worm.Lovgate.V

适用操作系统：Windows 操作系统

适用操作系统补丁版本：全部补丁适用

爱情后门变种V(Worm.LovGate.v)病毒档案及解决方案。

病毒评估

病毒中文名：爱情后门变种V

病毒英文名：Worm.LovGate.v.

病毒大小：124,928 字节

病毒类型：蠕虫病毒

病毒危险等级：★★★★

发现日期：2004年3月11日

病毒传播途径：网络/邮件

病毒依赖系统：WINDOWS9X/NT/2000/XP

病毒的破坏

1．释放后门病毒

病毒将在系统中殖入远程后门代码，该代码将响应远程恶意用户tcp请求方建一个远程shell进程。（windows9x，WindowsNT,Windows2000,WindowsXP为cmd.exe），可以对本地机器进行完全控制。

2. 释放通过QQ传播的病毒：“Worm.LovGate.v.QQ”

该病毒通过发送诱惑信息导致用户上当，从而中毒，详情请参考该病毒报告。

病毒报告

该病毒是蠕虫病毒"爱情后门"的新变种,是一个集蠕虫、后门一身的病毒，采用VC++编写，多层压缩。一旦运行，病毒将执行以下操作：

1.自我复制到系统目录，相关文件名为：

%SYSDIR%\\IEXPLORE.EXE

%SYSDIR%\\kernel66.dll

%SYSDIR%\\RAVMOND.exe

%SYSDIR%\\SysBoot.EXE

%SYSDIR%\\WinDriver.exe

%SYSDIR%\\winexe.exe

%SYSDIR%\\WinGate.exe

%SYSDIR%\\WinHelp.exe

同时也在每一个硬盘和可移动驱动器根目录下复制自己：

%DRIVER%\\SysBoot.exe

2.病毒将释放一个DLL文件，此文件将在系统中殖入远程后门代码，相关文件名为：

%SYSDIR%\\reg678.dll

%SYSDIR%\\Task688.dll

该代码将响应远程恶意用户tcp请求建方一个远程shell进程。（windows9x，WindowsNT,Windows2000,WindowsXP为cmd.exe），可以对本地机器进行完全控制。

3.病毒将释放一个利用QQ发送消息传播的病毒：“Worm.LovGate.v.QQ”，相关文件名目录为：

%SYSDIR%internet.exe

%SYSDIR%svch0st.exe

详细报告请查阅该病毒报告。

4.病毒将修改注册表的如下键值<病毒自启动的伎俩>：

HKEY_CLASSES_ROOT\\exefile\\shell\\open\\command

?(默认) : %SYSDIR%\\WINEXE.EXE "%1" %*

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"WinGate initialize" = "%SYSDIR%\\WINGATE.EXE? -REMOTESHELL"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"WinHelp" = "%SYSDIR%\\WINHELP.EXE"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"Remote Procedure Call Locator" = "RUNDLL32.EXE REG678.DLL? ONDLL_REG"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\Run

"Program In Windows" = "%SYSDIR%\\IEXPLORE.EXE"

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Currentversion\\RunServices

"SystemTra" = "%WINDIR%\\SYSTRA.EXE /SYSTRA:KERNEL32.DLL"

在windows9x下还修改系统文件：

WIN.INI

[WINDOWS]

"RUN" = "RAVMOND.EXE"

在windows2000、WindowsNT、WindowsXP下注册服务：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ll_reg

Display Name = "ll_reg? "

IMAGEPATH = "RUNDLL32.EXE TASK688.DLL ONDLL_SERVER"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Windows Management Instrumentation Driver Extension

Display Name = "Windows Management Instrumentation Driver Extension"

IMAGEPATH = "%SYSTEM%\\WINDRIVER.EXE -START_SERVER"

病毒也将在每一个硬盘和可移动盘的根目录下建立一个文件：AUTORUN.INF的文件，内容为：

[AUTORUN]

Open="%DRIVER%:\\SysBoot.EXE" /StartExplorer

其中%DRIVER%为相应的驱动器。

这样在用户打开该驱动器后将运行病毒。

5.病毒的破坏功能：

Windows弱口令密码试探攻击、放出后门程序、盗取密码。

6.局域网传播：

病毒穷举网络资源，并将自己复制过去，文件名为随机的选取。

7.邮件传播

病毒利用mapi及搜出的email地址，对收信箱里的邮件进行回复（传播）。

邮件标题随机从病毒体内选出

当病毒被运行后每隔一定时间发送一次通知邮件给位于网易的一个信箱,邮件内容为中毒系统的ip地址，以便利用病毒的后门进行控制。

解决方案

1、瑞星杀毒软件16.17.20版本可以彻底查杀此病毒，瑞星软件用户升级到最新版拦截此病毒。

2、使用专杀工具

鉴于该病毒的危害性比较严重，瑞星公司还为手中暂时没有杀毒软件的用户提供了免费的病毒专杀工具，用户可以到：网络进行免费下载，并进行该病毒的清除。

该病毒手工清除比较困难，建议使用杀毒软件或专杀工具。