一隻三管齊下的病毒 WORM_MEYLME.B

報告者：劉旭哲

• 9/9 趨勢科技新病毒 -「 WORM_MEYLME.B 」的警訊

• 感染途徑：1. 電子郵件2. 網路芳鄰3. USB 裝置

Here you haveHiJust for you

http://www.{BLOCKED}ocuments.com/library/PDF_Document21.025542010.pdf http://www.{BLOCKED}ovies.com/library/SEX21.025542010.wmv

電子郵件• 點選信中超連結時，使用者被導向另一網

址下載並執行惡意程式• http://{BLOCKED}s.multimania.co.uk/yahoophoto/PDF_Document21_025542010_pdf.scr

• 關閉防毒相關軟體• 刪除 wuauserv → 關閉 windows update• 搜尋 Yahoo! Messenger 中的通訊錄，

透過 MAPI （ Messaging Application Protocol Interface ）將郵件轉寄至好友

• 下載後門程式 BKDR_BIFROSE.SMU– 偷取網路、無線網路、即時通訊軟體的密碼，

以及遠端遙控桌面

惡意網站

2.導向

3.下載惡意程式

1.點擊信中連結

4.關閉防毒、 windows update

4.Yahoo! 好友

網路芳鄰• 利用蠕蟲內 script-VBS_MEYLME.B

• 將 windows\system 目錄下的一些資料夾分享為 Updates 、 print 、 movie 等 共用的資料夾。

• 當此惡意程式執行時，會連線至多個惡意網站。

網路芳鄰

2.開啟

1.點擊

3.下載

惡意網站

USB 裝置• USB 中建立 autorun.inf ，使其在其他電腦

中自動執行

最新消息• 目前發現這隻惡意程式是WORM_AUTORUN.NAD 的解壓縮版本

• 推測網路犯罪者拿到原始碼並加以修改進而散播

參考網站• http://www.itis.tw/node/4278• http://threatinfo.trendmicro.com/vinfo/virusenc

yclo/default5.asp?VName=WORM_MEYLME.B&VSect=P

• http://threatinfo.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=VBS_MEYLME.B&VSect=P

• http://threatinfo.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MEYLME.B&VSect=Sn

• http://blog.trendmicro.com/• http://

domynews.blog.ithome.com.tw/trackbacks/1252/80227

• http://blog.trendmicro.com/old-malware-out-of-its-shell/