1.Worm.Ariss.c病毒简介
2.Worm.Win32.Agent.wb是虫源虫代什么病毒
3.蠕虫病毒Win32.Luder.C感染方式
4.Worm.Shoho.c病毒概述
Worm.Ariss.c病毒简介
Worm.Ariss.c是一款通过电子邮件进行传播的恶性蠕虫病毒，它具有破坏性，码蠕码能够削弱用户的虫源虫代计算机防护。首先，码蠕码病毒会干扰用户的虫源虫代防护系统，如关闭防火墙和常见的码蠕码仿问答库 源码反病毒软件，以削弱计算机的虫源虫代防护能力。它还会禁用注册表编辑器，码蠕码进一步限制用户的虫源虫代系统管理权限。
病毒的码蠕码恶意行为包括但不限于禁用开始菜单中的"运行"功能，隐藏硬盘分区，虫源虫代阻止用户进入Windows 的码蠕码MS-DOS模式，以及阻止显示"远程管理"等功能，虫源虫代这些操作旨在创造一个更适合其他恶意软件入侵的码蠕码环境。此外，虫源虫代病毒还会对系统中那些对于攻击者来说可能存在的、但对用户来说并无明显作用的服务进行关闭或删除。
这些不必要的源码狗服务通常在操作系统中默认安装，为潜在的黑客提供了便利。通过移除它们，可以大大降低系统遭受攻击的风险。总的来说，Worm.Ariss.c病毒对用户的计算机安全构成严重威胁，用户应保持警惕并及时采取安全措施以防止其侵害。
Worm.Win.Agent.wb是什么病毒
病毒名称: Worm.Magistr.g
病毒是由C语言编写的感染型病毒，感染后缀名为EXE的位PE可执行程序，病毒源的大小为KB。
病毒源文件为boot.exe，由用户从U盘上提取。
病毒源文件流程:
boot.exe运行后检查自己是否在驱动器根目录下，如不是退出。
检查是否存在"C:\WINNT\linkinfo.dll",如果不存在则建立该文件。
检查驱动文件是否存在，如不存在则生成驱动文件%SystemRoot%\system\drivers\IsDrv.sys(加载后删除)，并调用ZwSetSystemInformation加载驱动。权限源码
装载该dll，然后查找病毒调用序号为的导出函数。
DLL流程:
DLL被装载时：
1、获得系统sfc.dll中的SfcIsFileProtected函数地址，以便在感染时调用以防止感染受系统保护的文件。
2、获取系统的linkinfo.dll(%system%目录下)的下列导出函数，使自己导出的同名函数指向正常的linkinfo.dll中正确的函数，以便转接这些函数。
ResolveLinkInfoW
ResolveLinkInfoA
IsValidLinkInfo
GetLinkInfoData
GetCanonicalPathInfoW
GetCanonicalPathInfoA
DisconnectLinkInfo
DestroyLinkInfo
CreateLinkInfoW
CreateLinkInfoA
CompareLinkInfoVolumes
CompareLinkInfoReferents
3、检查自己是否在explorer.exe进程中，如不是则启动病毒主线程。
4、启动病毒主线程
病毒首先通过VMWare后门指令检查是否是在VMWare下运行，如果是直接重启机器，以此来防止自己在虚拟机中被运行。
生成名称为"PNP#DMUTEX#1#DL5"的拉源码互斥量，以保证只有一个实例在运行。
然后开始启动各工作线程
5、工作线程1(生成窗口和消息循环)
生成隐藏的窗口和消息循环，并通过调用RegisterDeviceNotificationA注册设备通知消息，当发现插入可移动磁盘时，向可移动磁盘写入病毒源boot.exe。
6、工作线程2(遍历并感染所有磁盘)
从"C:\"开始感染所有磁盘中后缀名为"exe"的文件。
病毒在感染时，不感染"QQ"、"winnt"和"windows"目录下的程序文件，并通过调用SfcIsFileProtected来检查是否为系统文件，如是则不感染。
同时，病毒不感染以下程序：
wooolcfg.exe
woool.exe
ztconfig.exe
patchupdate.exe
trojankiller.exe
xy2player.exe
flyff.exe
xy2.exe
大话西游.exe
au_unins_web.exe
cabal.exe
cabalmain9x.exe
cabalmain.exe
meteor.exe
patcher.exe
mjonline.exe
config.exe
zuonline.exe
userpic.exe
main.exe
dk2.exe
autoupdate.exe
dbfsupdate.exe
asktao.exe
sealspeed.exe
xlqy2.exe
game.exe
wb-service.exe
nbt-dragonraja.exe
dragonraja.exe
mhclient-connect.exe
hs.exe
mts.exe
gc.exe
zfs.exe
neuz.exe
maplestory.exe
nsstarter.exe
nmcosrv.exe
ca.exe
nmservice.exe
kartrider.exe
audition.exe
zhengtu.exe
7、工作线程3(禁止其它病毒、破坏卡卡助手和感染网络)
枚举进程，升级源码如果进程的程序文件名(包括目录)是如下程序(常见的病毒程序)，将终止该进程
realschd.exe
cmdbcs.exe
wsvbs.exe
msdccrt.exe
run.exe
sysload3.exe
tempicon.exe
sysbmw.exe
rpcs.exe
msvce.exe
rundl.exe
svhost.exe
smss.exe
lsass.exe
internat.exe
explorer.exe
ctmontv.exe
iexplore.exe
ncscv.exe
spo0lsv.exe
wdfmgr.exe
upxdnd.exe
ssopure.exe
iexpl0re.exe
c0nime.exe
svch0st.exe
nvscv.exe
spoclsv.exe
fuckjacks.exe
logo_1.exe
logo1_.exe
lying.exe
sxs.exe
病毒通过修改卡卡助手的驱动"%system%\drivers\RsBoot.sys"入口，使该驱动在加载时失败。
枚举网络资源，并尝试对网络资源中的文件进行感染。
枚举并尝试向局域网中计算机的隐藏共享文件夹"%s\\IPC$"、"C$"等写入名称为"setup.exe"的病毒源文件，尝试连接时使用"Administrator"作为用户名，并使用下列密码尝试。
password1
monkey
password
abc
qwerty
letmein
root
mypass
owner
test
love
admin
qwer
!@#$%^&*()
!@#$%^&*(
!@#$%^&*
!@#$%^&
!@#$%^
!@#$%
asdfgh
asdf
!@#$
admin
8、工作线程4(修改host文件并下载)
备份host文件为host.txt，并下载文件代替。
查找系统html文件的关联程序，启动并注入dll以便穿过防火墙的拦截。
尝试连接以下地址并下载文件
*****rg/c.asp
****rg/top.dat
9、工作线程5(监视并禁止其它病毒)
通过调用驱动获得新生成的进程，如果进程的文件是指定程序(见工作线程3)，终止该进程
驱动：
该驱动加载后首先通过替换 SDT 的中的函数地址挂钩
ZwSaveKey
ZwQueryDirectoryFile
ZwClose
ZwEnumerateKey
ZwLoadDriver
...
等 API 来保护病毒的注册表键值不被发现和修改，并隐藏病毒文件（boot.exe, linkinfo.dll, nvmini.sys等）,
以及禁止一些安全软件的驱动加载。
然后，驱动创建一个名为 DL5CProc 的设备。用户进程可以通过 ioctl = 来获得最后一个创建进程的进程 ID。
这个进程 ID 是通过调用 PsSetCreateProcessNotifyRoutine 得到的通知获得。
该驱动还会通过 PsSetLoadImageNotifyRoutine 设置映像加载通知，如果加载的映像文件在以下子目录中：
COMMON FILES, WINDOWS\SYSTEM, WINNT\SYSTEM
并且名为：
DLLWM.DLL
WININFO.RXK
RICHDLL.DLL
WINDHCP.DLL
DLLHOSTS.DLL
NOTEPAD.DLL
RPCS.DLL
RDIHOST.DLL
RDFHOST.DLL
RDSHOST.DLL
LGSYM.DLL
RUND.DLL
MDDDSCCRT.DLL
WSVBS.DLL
CMDBCS.DLL
UPXDHND.DLL
该驱动会通过修改物理内存修改模块入口是这些模块返回失败，无法成功加载。这些动态库多是一些盗密码的
病毒以及Worm.Viking的动态库，所以被 Magister 感染的系统不会再感染这些病毒。
被感染的文件:
病毒感染文件时，会将原文件最后一个节增大，将病毒代码写入被感染文件的代码节，修改入口点指向病毒代码并保存原来的入口点地址，然后将被覆盖的原来文件的代码、病毒的dll、sys文件压缩保存在文件最后一个节中增大的地方。被感染的文件运行时，病毒代码先被运行，释放C:\WINNT\linkinfo.dll和%SystemRoot%\system\drivers\IsDrv.sys并加载，然后调用linkinfo.dll的序号为的函数。病毒代码最后会恢复原文件被覆盖的代码并跳回原文件的入口开始运行原来的文件。
“马吉斯（Worm.Magistr）”病毒专杀工具
蠕虫病毒Win.Luder.C感染方式
当Win.Luder.C蠕虫病毒运行时，它首先将自身副本wservice.exe复制到系统的%System%目录，并设置该文件的隐藏属性。这样做的目的是为了在不被察觉的情况下隐藏其存在。接着，病毒会修改两个关键的注册表键值： HKLM\Software\Microsoft\Windows\CurrentVersion\Run\UpdateService 被设置为 "%System%\wservice.exe"，这是确保病毒在系统启动时自动启动的行为。同样，HKCU\Software\Microsoft\Windows\CurrentVersion\Run\UpdateService 也被修改，目的是在用户登录时执行病毒副本。 为了进一步防止多个蠕虫副本同时运行，Win.Luder.C创建了一个名为"Kusyyyy"的互斥体，这是一种同步机制，确保单个实例的执行。这个互斥体的存在确保了病毒的自我复制和传播过程不会因多个实例同时运行而产生冲突。 值得注意的是，%System%是一个动态路径，病毒会根据操作系统环境来确定实际的系统文件夹位置。在Windows 和NT上，它默认位于C:\Winnt\System；而在Windows 、和ME中，路径是C:\Windows\System；而对于Windows XP，这个位置则是C:\Windows\System。扩展资料
Win/Luder.C是一种通过邮件传播的蠕虫，并寄存在PE 文件和RAR 文件中进行传播。另外，它还会生成一个特洛伊，用来下载并运行其它的恶意程序。它是大小为, 字节，以 UPX格式加壳的Win可运行程序。Worm.Shoho.c病毒概述
本文主要介绍的是Worm.Shoho.c病毒的相关信息。这款病毒被冠以多种别名，包括I-Worm.Welyah[AVP]、W.Shoho@mm[NAV]、W/Shoho.c@MM以及W/Welyah.C@mm，显示出其在恶意软件界中的多样性和复杂性。
该病毒首次被报告处理的时间是在年月日，这表明它在当时的计算机安全环境中已经引起了广泛关注。Worm.Shoho.c被评估为具有威胁性，其威胁级别被标记为★★，意味着它对用户的电脑系统具有中等程度的危害。
病毒的中文名称为“笑哈哈”，虽然名称听起来有些幽默，但其实际功能却并不轻松。Worm.Shoho.c属于蠕虫病毒类型，这类病毒主要通过自我复制和传播来感染目标系统，无需用户的主动操作即可在网络中蔓延。
这款病毒主要影响的是Windows操作系统，具体包括Win9x和WinNT版本。这意味着，对于使用这些系统的用户来说，需要特别警惕，因为他们的电脑可能成为蠕虫病毒的潜在目标。
总的来说，Worm.Shoho.c蠕虫病毒是一种不容小觑的威胁，对于用户而言，定期更新系统补丁，安装防病毒软件，以及保持良好的网络使用习惯，都是防范此类病毒的有效措施。