国家计算机病毒应急处理中心通过对互联网的监测，于2003年8月19日发现一个通过电子邮件传播的蠕虫病毒，经分析证实该蠕虫病毒是“老板公司”的又一个变种Worm_Sobig.F，并且该已经在我国传播开来。我们已经接到用户的电话求助，应急邮箱中也收到了被感染用户的计算机自动发送的病毒邮件。
该病毒分析报告如下：
病毒名称：“老板公司”变种（Worm_Sobig.F）
病毒类型： 蠕虫
病毒长度：
72，259字节，约71k
感染系统： Windows 95\98\NT\2000\ME\XP
病毒介绍：
病毒使用自带的SMTP引擎发送电子邮件，当用户打开病毒邮件带有的.pif或.scr类型的附件文件后，病毒就会感染用户的计算机，在以下扩展名的文件中搜索电子邮件地址
dbx 文件（微软OUTLOOK邮件系统保存文件类型）
eml 文件（通用邮件文件扩展名称）
hlp 文件（帮助文件）
htm 文件、html文件（网页文件）
mht 文件（网页文件）
wab 文件（微软地址薄文件）
txt 文件（纯文本文件）
并将自身的拷贝，即病毒邮件发送给这些邮件地址。病毒还可以通过局域网进行传播。邮件形式如下：
发件人：
病毒从被感染机器中搜索，获取邮件地址作为发件人地址，从而使得发送的邮件看上去是从其他人发送的，掩盖真实的发送地址。如果没有从被感染计算机中搜索到可用的用件地址，病毒将使用作为发件人。
主题：（为下列之一）
Re: Thank you! Thank you!
Re: Details
Re: My details
Re: Approved
Re: Your application
Re: Wicked screensaver
Re: That movie
内容：（为以下二者之一）
See the attached file for details.
Please see the attached file for
details.
附件：（为下列之一）
application.pif
details.pif
document_9446.pif
document_all.pif
movie0045.pif
thank_you.pif
wicked_scr.scr
your_document.pif
your_details.pif
病毒运行后，在Windows文件夹下生成自身拷贝，并命名为winppr32.exe，同时创建注册表键值，以便在系统启动时，病毒能随系统启动而运行。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "TrayX" = %Windows%\winppr32.exe /sinc HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "TrayX" = %Windows%\winppr32.exe /sinc
（%Windows%为Windows文件夹，通常默认安装的路径为C:\Windows 或 C:\WINNT),病毒还在Windows目录下生成文件winstt32.dat
另外，与“老板公司”的其他两个变种Worm_Sobig.C和Worm_Sobig.E相类似，病毒在传播时间上给自身做了限制，当系统日期为2003年9月10之后，蠕虫的传播机制将自动失效。
清除该病毒的相关操作：
1、终止病毒进程
在Windows 9x/ME系统，同时按下CTRL+ALT+DELETE 在Windows NT/2000/XP系统中，同时按下CTRL+SHIFT+ESC 选择“任务管理器——〉进程”，选中正在运行的病毒进程，并终止其运行。
2、注册表的恢复
点击“开始——〉运行”，输入regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run ，并删除面板右侧的"TrayX" = %Windows%\winppr32.exe /sinc。再依次双击左侧的 HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run ，找到并删除面板右侧的"TrayX" = %Windows%\winppr32.exe /sinc
3、删除病毒文件
点击“开始——〉查找——〉文件和文件夹”，查找“winppr32.exe”、“winstt32.dat”，并将找到的文件删除。
4、运行杀毒软件对系统进行全面的病毒查杀
目前，国家计算机病毒应急处理中心提醒广大用户升级杀毒软件，启动实时监控功能，留意病毒邮件的特征，收到此类邮件千万不要打开附件，应立即删除。
·IT产品报价大全
[1]