这是啥病毒？要怎么才能清除呢？

Posted 2023-03-31

我的电脑中了这种worm.novarg.b的病毒，现在连网都上不了了，有谁知道这是什么病毒，最重要的是用什么样的方法才能清除它？谢谢了。

病毒名称: Worm.Novarg.b
中文名称: 诺维格变种
威胁级别: 3A
病毒别名: SCO炸弹变种 [瑞星]
W32/Mydoom.b@MM [McAfee]
WORM_MYDOOM.B [Trend]
W32.Mydoom.b@mm [Symantec]
受影响系统: Win9x/NT/2K/XP/2003

“诺维格”变种B（又名：SCO炸弹，英文又名:Mydoom.b）使用和原版病毒相同的传播机制，但更恶毒的是该病毒攻击的目标开始转向微软，在向SCO发起DoS(拒绝服务)攻击的同时也向微软的官方网站发起相同的攻击。另外，此次变种还加入了对单机用户的影响，它屏蔽了许多知名反病毒厂商、网络安全厂商的官方网站地址和升级地址，造成一些单机用户的反病毒软件和网络防火墙不能正常升级。

技术特点

A.创建如下文件：
%System%\Ctfmon.dll
%Temp%\Message:这个文件由随机字母通组成。
%System%\Explorer.exe
（注：%system%为系统目录，对于Win9x系统，目录为windows\system。对于NT及以上系统为Winnt\system32或Windows\system32。%temp%为系统临时目录，在“运行”的窗口输入%temp%及可调出临时目录的所在位置。）

B.添加如下注册表项：
HKEY_CURRENT_USER\Software\Microsft\Windows\CurrentVersion\Run
"Explorer" = "%System%\Explorer.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Explorer" = "%System%\Explorer.exe"

HKEY_CLASSES_ROOT\CLSID\E6FB5E20-DE35-11CF-9C87-00AA005127ED
\InProcServer32
%默认% = "%System%\ctfmon.dll"
以便病毒可随机自启动；

C.%System%\Ctfmon.dll的功能是一个代理服务器，开启后门；

D、病毒在如下后缀的文件中搜索电子邮件地址：
.htm
.sht
.php
.asp
.dbx
.tbb
.adb
.pl
.wab
.txt

E、使用病毒自身的SMTP引擎发送邮件，他优先选择下面的域名服务器发送邮件，如果失败，则使用本地的邮件服务器发送。
gate.
ns.
relay.
mail1.
mxs.
mx1.
smtp.
mail.
mx.
用“系统退信”的方式传播，使人防不胜防；

F、可能的邮件内容如下：
From: 可能是一个欺骗性的地址
主题:
Returned mail
Delivery Error
Status
Server Report
Mail Transaction Failed
Mail Delivery System
hello
hi

正文:
sendmail daemon reported:
Error #804 occured during SMTP session. Partial message has been received.
Mail transaction failed. Partial message is available.
The message contains Unicode characters and has been sent as a binary attachment.
The message contains MIME-encoded graphics and has been sent as a binary attachment.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

附件可能有双缀,如果有双后缀,则第一个可能的后缀如下:
.htm
.txt
.doc

第二个后缀可能如下:
.pif
.scr
.exe
.cmd
.bat
.zip
如果附件是个exe或scr文件的扩展名,则显示的是一个文本文件的图标

G.复制自身到Kazaa共享目录中，诱使其它KaZaa用户下载病毒。病毒复本的文件名如下:
icq2004-final
Xsharez_scanner
BlackIce_Firewall_Enterpriseactivation_crack
ZapSetup_40_148
MS04-01_hotfix
Winamp5
AttackXP-1.26
NessusScan_pro
扩展名可能如下:
.pif
.scr
.bat
.exe

H.修改系统hosts文件,屏蔽用户对以下网站的访问，造成不能升级反病毒等安全类软件:
ad.doubleclick.net
ad.fastclick.net
ads.fastclick.net
ar.atwola.com
atdmt.com
avp.ch
avp.com
avp.ru
awaps.net
banner.fastclick.net
banners.fastclick.net
ca.com
click.atdmt.com
clicks.atdmt.com
dispatch.mcafee.com
download.mcafee.com
download.microsoft.com
downloads.microsoft.com
engine.awaps.net
fastclick.net
f-secure.com
ftp.f-secure.com
ftp.sophos.com
go.microsoft.com
liveupdate.symantec.com
mast.mcafee.com
mcafee.com
media.fastclick.net
msdn.microsoft.com
my-etrust.com
nai.com
networkassociates.com
office.microsoft.com
phx.corporate-ir.net
secure.nai.com
securityresponse.symantec.com
service1.symantec.com
sophos.com
spd.atdmt.com
support.microsoft.com
symantec.com
update.symantec.com
updates.symantec.com
us.mcafee.com
vil.nai.com
viruslist.ru
windowsupdate.microsoft.com
www.avp.ch
www.avp.com
www.avp.ru
www.awaps.net
www.ca.com
www.fastclick.net
www.f-secure.com
www.kaspersky.ru
www.mcafee.com
www.microsoft.com
www.my-etrust.com
www.nai.com
www.networkassociates.com
www.sophos.com
www.symantec.com
www.trendmicro.com
www.viruslist.ru
www3.ca.com

I.从2004年2月1号开始开启多个线程对www.sco.com发动DOS攻击,从2月3日起对www.microsoft.com发起DOS攻击,直到2004年3月1日结束.

解决方案：

1、请升级您的金山毒霸到2004年1月30日的病毒库，并打开病毒防火墙和邮件防火墙来阻止病毒邮件的入侵；

2、如果收到系统退信时，请不要打开退信中的附件；

3、不要打开陌生人邮件；

4、改变文件的查看方式，让文件显示完整的扩展名，使病毒无处藏身。病毒常用后缀为：.bat, .cmd, .exe, .pif, .scr，.zip。
打开显示完整扩展名的方法：
A、打开资源管理器，单击“工具”，再单击“文件夹选项”

B、选择“查看”标签项

C、找到“隐藏已知文件类型的扩展名”，取消前面的“勾”

D、点击“确定”即可。

5、请升级您的金山毒霸到2004年1月27日的病毒库，使全盘完全查杀来清除该病毒；

6、如果您没有金山毒霸，您可以登录http://online.kingsoft.net使用金山毒霸的在线查毒或是金山毒霸下载版来防止该病毒的侵入；

7、所有用户还可以尽快登录到 下载“诺维格”专杀工具，可解除病毒屏蔽的网站。

8、企业用户发现该病毒的形踪，请立即升级病毒库到最新，然后将中毒机器立即隔离出网络来查杀。开启邮件服务器的邮件过滤，将病毒邮件过滤。

9、杀毒完毕后，请下载专杀工具（）帮助修复HOSTS文件，解除病毒屏蔽的网站。

专家提醒：

1、请及时升级您的毒霸到最新。因为病毒随时在产生，金山毒霸的病毒库也会随时升级中，请多关注金山毒霸安全咨询网（www.duba.net)上的最新病毒公告，或者订阅金山毒霸的“病毒短信”，为您提供最新最快的病毒信息和毒霸的升级信息；

2、打开网络和病毒防火墙，为您的系统打上微软的最新补丁。杀病毒不如防病毒，只要防止住病毒进入的通道，就可彻底免除病毒带来的危害；

3、不随意打开陌生人的邮件。当今的病毒不再只是通过计算机来传播，病毒制作者会利用人们好奇的心理来骗取自己激活的机会，如前段时间的“911”蠕虫病毒，就是利用人们对“911”事件的关注心态，来骗取用户打开邮件，从而使用病毒获得激活进会。大量的木马和黑客程序都会以这种方式来获得运行权；

4、掌握一些相关的系统操作知识，这样可以方便、及时的发现新病毒 参考技术A 介绍：任务管理器，它的功能是监视程序的执行情况并随时报告。能够监测所有在任务栏中以窗口方式运行的程序，可打开和结束程序，还可直接调出关闭系统对话框。

伪装成taskmon.exe进程的诺维格（Worm.Novarg）病毒手工清除方法

1、终止恶意程序:

打开Windows任务管理器.

在Windows95/98/ME系统中， 按CTRL+ALT+DELETE

在Windows NT/2000/XP 系统中，按CTRL+SHIFT+ESC，然后点击进程选项卡。

在运行程序列表中，找到进程: taskmon.exe

选择恶意程序进程，然后点击结束任务或结束进程按钮（取决于Windows的版本)。

为了检查恶意程序是否被终止，关掉任务管理器，然后再打开。

关掉任务管理器。

*注意: 在运行Windows95/98/ME的系统中，任务管理器可能不会显示某一进程。可以使用其他进程查看器来终止恶意程序进程。否则，继续处理下面的步骤，注意附加说明。

2、删除注册表中的自启动项目:

从注册表中删除自动运行项目来阻止恶意程序在启动时执行。

打开注册表编辑器: 点击开始>运行，输入REGEDIT，按Enter

在左边的面板中，双击:

HKEY_CURRENT_USER>Software>Microsft>Windows>CurrentVersion>Run

HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run

在右边的面板中，找到并删除如下项目:

TaskMon = %System%\taskmon.exe

* 注意: %System%是Windows的系统文件夹，在Windows 95，98，和ME系统中通常是 C:\Windows\System，在WindowsNT和2000系统中是:WINNT\System32，在Windows XP系统中是C:\Windows\System32。

*注意: 如果不能按照上述步骤终止在内存中运行的恶意进程，请重启系统。

3、删除注册表中的其他恶意项目

如下是删除注册表中其他恶意项目的说明。

仍旧在注册表编辑器中，在菜单条中点击编辑>查找，在文本领域中输入"ComDlg32"，点击查找下一个。

当像如下键值出现时，删除键值和数据:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer

\ComDlg32\Version

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer

\ComDlg32\Version

关闭注册表编辑器。 参考技术B 这样
下载清理系统临时文件和IE临时文件夹工具,全选所有项目，点击“立即清理”清理系统
http://www.atribune.org/public-beta/ATF-Cleaner.exe
下载arswp(Windows清理助手)清理下..
http://www.arswp.com/download/arswp/arswp.rar
然后下载360安全卫士，点清理系统垃圾，然后点windows预读文件，扫描以后清除
同时，用360安全卫士
修复IE，如果还有类似情况，重新装一个浏览器
如果那三个玩意儿还在，用费尔杀掉
官网下载费尔木马强力清除助手,勾选“抑制文件再生”删除。
http://dl.filseclab.com/down/powerrmv.zip
最后建议搞定后开机f8进入安全模式，用杀软来个彻底的扫描 参考技术C SCO炸弹变种B(Worm.Novarg.B)病毒档案
发布时间： 02月02日 16:37
------------------------------------------------------------------------------
病毒名称：SCO炸弹变种B(Worm.Novarg.B)

警惕程度：★★★★

发作时间：随机

病毒类型：蠕虫病毒

传播途径：邮件

依赖系统: WINDOWS 9X/NT/2000/XP

病毒介绍：

1月29日，反病毒监测网率先截获“SCO炸弹”病毒的一个新变种，并命名为“SCO炸弹变种B”(Worm.Novarg.b)病毒。据反病毒工程师介绍，与“SCO炸弹”不同，该病毒已经把攻击的矛头直接指向微软，将对微软网站发动拒绝服务式攻击。技术服务部门27日通过国内病毒监测网监测到1000多封携带该病毒的用户邮件，而1月29日已经上升至4000多封，并有急剧增长的趋势。

据反病毒工程师分析，该病毒变种的技术特性与“SCO炸弹相似”，利用病毒邮件的大量传播感染用户电脑，把感染的电脑当作代理服务器针对特定网址发送拒绝服务式攻击，这种攻击方式目前没有有效的预防措施。和“SCO炸弹”一样，该病毒变种不会感染以EDU结尾的邮件地址，尽管病毒编写者的主要目的是为了攻击微软和SCO公司，但由于带毒邮件的大量传播会消耗网络资源，并对系统设置后门，对普通用户的正常使用造成很大安全风险。

病毒的特性、发现与清除：

1. 该病毒是蠕虫型病毒，采用upx压缩，病毒体大小为29,184字节。

2. 病毒运行时会释放后门程序为：%System%\Ctfmon.dll，该后门程序使用以下TCP端口： 80、 1080、 3128、8080、10080，该后门可以下载或执行任何有害代码。可将该病毒文件直接删除。

注意：%system%是一个变量，它指的是操作系统安装目录中的系统目录，默认是：“C:\Windows\system”或：“c:\Winnt\system32”。

3. 病毒运行时会在%Temp%目录中生成一个和记事本一样图标的随机病毒文件，并自动调用记事本程序来打开它，从而显示一些伪装信息。

文章出处： 中国电脑教育报 参考技术D 瑞星公司发布的SCO炸弹(Worm.Novarg)病毒专杀工具。1.0版可查杀病毒：Worm.Novarg 针对“SCO炸弹(Worm.Novarg)”病毒的专杀工具。下载工具后直接运行即可。 专杀工具只能查杀独立的文件，不能查杀复合文档中的病毒，比如邮箱或者压缩文件。