CodeRed 蠕虫病毒未对中文视窗系统造成多大影响,不过近来的CodeRed II型可是专门针对中文系统的病毒,最新的 CodeRed.v3 蠕虫病毒继承了CodeRed II的大部分功能。
同样是有意针对中文Windosws操作系统的攻击性病毒,它与CodeRed II都将对简体中文/繁体中文Windows系统进行双倍的攻击。
别名:CodeRed.v3, CodeRed III, W32.Bady.C
微软已经发布了一个安全公告MS01-033:
http://www.microsoft.com/technet/security/bulletin/MS01-033.asp
同时提供了针对NT和2000系统的补丁:
Windows NT 4.0:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30833
Windows 2000 Professional, Server and Advanced Server:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=30800
研究了一下其程序代码,现在已成功清除,分析结果及手动清除方法如下:
这个蠕虫的行为可以分为三部分:初始化、感染、繁殖、安装木马。
1.初始化
当一个 WEB 服务器感染此病毒后,它首先将初始化:
(1) 确定 Kernel32.dll 动态链接库中 ISS 服务器的服务进程地址。
(2) 查找调用 API 函数 GetProcAddress 以使用以下 API 函数:
LoadLibraryA
CreateThread
..
..
GetSystemTime
(3) 加载 WS2_32.dll 库使用socket closesocket SAGetLastError 等函数。
(4) 从 USER32.DLL 中调用 ExitWindowsEx 以重新启动系统。