标题：“威金”蠕虫变种CP
病毒入侵途径
进程文件： rundl132 或 rundl132.exe 
进程位置： windir 
程序名称： Troj_AutoCrat.b.enc或Worm.Viking.cp威金 
程序用途： 后门木马病毒以窃取信息为主。或最新的病毒名称：Worm.Viking.cp 中 文 名：“威金”蠕虫变种CP 
程序作者： 
系统进程： 否 
后台程序： 是 
使用网络： 是 
硬件相关： 否 
安全等级： 低 
进程分析： 该病毒修改win.ini文件实现自启动，使用与rundll32.exe相似的rundl132.exe文件名。病毒运行后打开后门端口，允许恶意攻击者控制计算机。
病毒关键代码
00443BFE >/$ 55 push ebp
00443BFF |. 8BEC mov ebp, esp
00443C01 |. 6A FF push -1
00443C03 |. 68 C8025900 push 005902C8
00443C08 |. 68 C0AC4400 push 0044ACC0 ; SE handler installation
00443C0D |. 64:A1 0000000>mov eax, dword ptr fs:[0]
00443C13 |. 50 push eax
00443C14 |. 64:8925 00000>mov dword ptr fs:[0], esp
00443C1B |. 83EC 58 sub esp, 58
00443C1E |. 53 push ebx
00443C1F |. 56 push esi
00443C20 |. 57 push edi
00443C21 |. 8965 E8 mov dword ptr [ebp-18], esp
00443C24 |. FF15 F0325800 call dword ptr [<&KERNEL32.GetVersion>; kernel32.GetVersion
00443C2A |. 33D2 xor edx, edx
00443C2C |. 8AD4 mov dl, ah
00443C2E |. 8915 08EC5F00 mov dword ptr [5FEC08], edx
00443C34 |. 8BC8 mov ecx, eax
00443C36 |. 81E1 FF000000 and ecx, 0FF
00443C3C |. 890D 04EC5F00 mov dword ptr [5FEC04], ecx
00443C42 |. C1E1 08 shl ecx, 8
00443C45 |. 03CA add ecx, edx
00443C47 |. 890D 00EC5F00 mov dword ptr [5FEC00], ecx
00443C4D |. C1E8 10 shr eax, 10
00443C50 |. A3 FCEB5F00 mov dword ptr [5FEBFC], eax
00443C55 |. 6A 01 push 1
00443C57 |. E8 E85D0000 call 00449A44
00443C5C |. 59 pop ecx
00443C5D |. 85C0 test eax, eax
00443C5F |. 75 08 jnz short 00443C69
00443C61 |. 6A 1C push 1C
00443C63 |. E8 C3000000 call 00443D2B
00443C68 |. 59 pop ecx
00443C69 |> E8 6E3B0000 call 004477DC
00443C6E |. 85C0 test eax, eax
00443C70 |. 75 08 jnz short 00443C7A
00443C72 |. 6A 10 push 10
00443C74 |. E8 B2000000 call 00443D2B
00443C79 |. 59 pop ecx
00443C7A |> 33F6 xor esi, esi
00443C7C |. 8975 FC mov dword ptr [ebp-4], esi
00443C7F |. E8 B67C0000 call 0044B93A
00443C84 |. FF15 3C335800 call dword ptr [<&KERNEL32.GetCommand>; [GetCommandLineA
00443C8A |. A3 D84A6000 mov dword ptr [604AD8], eax
00443C8F |. E8 747B0000 call 0044B808
00443C94 |. A3 ECEB5F00 mov dword ptr [5FEBEC], eax
00443C99 |. E8 1D790000 call 0044B5BB
00443C9E |. E8 5F780000 call 0044B502
00443CA3 |. E8 1E180000 call 004454C6
00443CA8 |. 8975 D0 mov dword ptr [ebp-30], esi
00443CAB |. 8D45 A4 lea eax, dword ptr [ebp-5C]
00443CAE |. 50 push eax ; /pStartupinfo
00443CAF |. FF15 4C335800 call dword ptr [<&KERNEL32.GetStartup>; \GetStartupInfoA
00443CB5 |. E8 F0770000 call 0044B4AA
00443CBA |. 8945 9C mov dword ptr [ebp-64], eax
00443CBD |. F645 D0 01 test byte ptr [ebp-30], 1
00443CC1 |. 74 06 je short 00443CC9
00443CC3 |. 0FB745 D4 movzx eax, word ptr [ebp-2C]
00443CC7 |. EB 03 jmp short 00443CCC
00443CC9 |> 6A 0A push 0A
00443CCB |. 58 pop eax
00443CCC |> 50 push eax
00443CCD |. FF75 9C push dword ptr [ebp-64]
00443CD0 |. 56 push esi
00443CD1 |. 56 push esi ; /pModule
00443CD2 |. FF15 9C325800 call dword ptr [<&KERNEL32.GetModuleH>; \GetModuleHandleA
00443CD8 |. 50 push eax
00443CD9 |. E8 DAF40F00 call 005431B8
00443CDE |. 8945 A0 mov dword ptr [ebp-60], eax
00443CE1 |. 50 push eax
00443CE2 |. E8 0C180000 call 004454F3
00443CE7 |. 8B45 EC mov eax, dword ptr [ebp-14]
00443CEA |. 8B08 mov ecx, dword ptr [eax]
00443CEC |. 8B09 mov ecx, dword ptr [ecx]
00443CEE |. 894D 98 mov dword ptr [ebp-68], ecx
00443CF1 |. 50 push eax
00443CF2 |. 51 push ecx
00443CF3 |. E8 3A760000 call 0044B332
00443CF8 |. 59 pop ecx
00443CF9 |. 59 pop ecx
00443CFA \. C3 retn
00443CFB 8B db 8B
00443CFC 65 db 65 ; CHAR 'e'
00443CFD E8 db E8
00443CFE FF db FF
00443CFF 75 db 75 ; CHAR 'u'
00443D00 98 db 98
00443D01 E8 db E8
00443D02 FE db FE
00443D03 17 db 17
00443D04 00 db 00
00443D05 00 db 00
00443D06 /$ 833D F4EB5F00>cmp dword ptr [5FEBF4], 1
00443D0D |. 75 05 jnz short 00443D14
00443D0F |. E8 E27D0000 call 0044BAF6
00443D14 |> FF7424 04 push dword ptr [esp+4]
00443D18 |. E8 127E0000 call 0044BB2F
00443D1D |. 68 FF000000 push 0FF
00443D22 |. FF15 B0C35C00 call dword ptr [5CC3B0] ; FoxitRea.00445504
00443D28 |. 59 pop ecx
00443D29 |. 59 pop ecx
00443D2A \. C3 retn
00443D2B /$ 833D F4EB5F00>cmp dword ptr [5FEBF4], 1
00443D32 |. 75 05 jnz short 00443D39
00443D34 |. E8 BD7D0000 call 0044BAF6
00443D39 |> FF7424 04 push dword ptr [esp+4]
00443D3D |. E8 ED7D0000 call 0044BB2F
00443D42 |. 59 pop ecx
00443D43 |. 68 FF000000 push 0FF ; /ExitCode = FF
00443D48 \. FF15 44335800 call dword ptr [<&KERNEL32.ExitProces>; \ExitProcess
00443D4E . C3 retn
病毒档案
病毒名称：Worm.Viking.cp
中 文 名：“威金”蠕虫变种CP 
释放vidll.dll到任何可执行文件目录下。
该病毒修改注册表创建Run/Timer项实现自启动，病毒文件包括：0Sy.exe 1Sy.exe 2Sy.exe 3Sy.exe 4Sy.exe 5Sy.exe 6Sy.exe 7Sy.exe 8Sy.exe 9Sy.exe以及 0～9.exe等等 。
档案编号：CISRT2006004 
病毒名称：Worm.Win32.Viking.i（AVP） 
病毒别名：Worm.Viking.bp（瑞星） 
病毒大小：27,194 字节 
加壳方式：UPack 
样本MD5：fe498f7687658c33547d72151111b93f 
发现时间：2006.5.30 
更新时间：2006.6.1 
关联病毒： 
传播方式：通过QQ尾巴、恶意网站传播
技术分析：
1、运行后创建文件：
%Windows%\rundl132.exe 
\vDll.dll（当前目录） 
2、建立自启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows] 
"load"="%Windows%\rundl132.exe" 
3、vDll.dll将插入Explorer.exe或iexplore.exe进程。 
4、病毒会使用net命令停止毒霸服务：
net stop "Kingsoft AntiVirus Service" 
5、尝试访问共享网络ipc$和admin$，发送ICMP用“Hello,World”探测。 
6、生成的一些记录文件：
C:\gamevir.txt 
C:\1.txt 
C:\log.txt 
7、变种Logo1_.exe会感染（捆绑）.exe文件，在这个rundl132.exe的测试中没有发现感染（捆绑）.exe文件的情况。 
感染（捆绑）.exe文件，但不感染（捆绑）以下目录中的.exe：
system 
system32 
windows 
Documents and Settings 
System Volume Information 
Recycled 
winnt 
Program Files 
Windows NT 
WindowsUpdate 
Windows Media Player 
Outlook Express 
Internet Explorer 
ComPlus Applications 
NetMeeting 
Common Files 
Messenger 
Microsoft Office 
InstallShield Installation Information 
MSN 
Microsoft Frontpage 
Movie Maker 
MSN Gaming Zone 
8、尝试修改HOSTS文件：
%System32%\drivers\etc\hosts 
9、添加注册表信息：
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW] 
"auto"="1" 
10、尝试访问网络下载其它木马病毒，有WOW、征途、QQ尾巴等木马。 
1.在系统目录下生成一些病毒文件，有0sy.exe,到9sy.exe，还有图标为QQ的，图为为迅雷的，为real播放器的，反正是很容易骗过你的图标，名称一律为rundl132.exe （32之前是个1不是l,rundll32.exe是系统文件，是不是很会骗人？）
2.把迅雷和winrar的程序文件替换掉使你无法运行这两个程序,其他的程序有没有被换掉我不知道,反正我看到了这两个软件是这样.
3.打开进程管理器可以看到有rundl1.exe cmd.exe winxxx.exe xxx为数字且为随机的且在C:\Documents and Settings\你的用户名\Local Settings\temp 下