“Sircam”蠕虫病毒开始肆虐日本
　2001-07-30 14:34:23

　　
　　在Windows 9x中传播的计算机病毒“W32/Sircam”受害范围正在扩大。自从2001年7月17日前后首次被发现以来，来自世界各国的受害报告接踵而至，用户及防病毒软件公司已经到了非行动起来不可的境地。目前Trendmicro公司已将Sircam病毒的危险列为最高等级，同时美国的计算机安全监视机构CERT Coordination Center也于美国当地时间7月25日发出了病毒警告。

　　
　　Sircam病毒可以任意发送被感染的个人计算机内的文件，并可以删除该个人计算机硬盘上的内容。由于该病毒可以使用电子邮件和网络文件夹自我复制，因此其感染力非常强。

　　被Sircam感染的邮件的正文处用英语或者西班牙语书写。当使用英语时，其内容的开头为“Hi! How are you?”，之后为“I send you this file insgroupsto have your advice”及“I hope you like the file that I sendo you”等短语中随机选取的句子，最后以短句“See you later. Thanks”结束。Sircum病毒的本身将以“SirC32exe”或者“任意文字.doc.com”等文件名添加在被感染文件中。如果运行此文件Sircum将开始感染，但在感染DOC文件时由于用户可以正常打开Word文件，因此难以觉察到被病毒感染。

　　Sircam的感染过程如下。首先它将自我复制到用户的系统上。具体地说，该病毒将把自身复制到C:Recycled和Windows的系统文件夹下。然后，就在找到的网络计算机上进行自我复制，之后以邮件的形式将自身和系统上的文件发送出去。

　　Sircam之所以泛滥的原因在于，该病毒不需要利用用户使用的邮件客户端程序，而是可以将自身作为SMTP的客户端程序发送邮件进行感染。“该病毒在取得用户使用的Outlook Express及Outlook的SMTP的信息之后，按照设定发送邮件”(Symantec)。另外，“该病毒还可以使用预先设置在因特网上的SMTP服务器发送邮件”(Trendmicro)。

　　Sircam通过两种方法取得发送邮件的地址。一种是通过扩展名为Wab(Windows Address Books)的Windows内的地址簿。另一种是通过保存Web浏览器浏览过的HTML文件的缓冲区。“该病毒将向公告板等Web浏览器浏览过的所有网页的地址发送邮件”(日本计算机安全研究中心的远藤基主任研究员)。可以说这是该病毒无条件传播的一个理由。然后，Sircam在自身嵌入用户桌面及我的文档中的文件夹内的扩展名为“doc”、“xls”、“zip”、“exe”的文件，并作为附加发送。

　　另外，据Symantec称“该病毒将以33分之1的概率向c: ecycledsircam.sys中添加文本，直到耗尽硬盘的所有空间，并在每年的10月16日以20分之1的概率删除C盘中的全部文件和目录”。


　　如果运行了邮件的附件，将会引起前面提到的感染，之后将遭到该病毒的侵害。首先，它将改写本地的注册表，在运行任意的EXE文件时将执行复制到回收站内的Sircam。“由于带有回收站的隐藏属性的文件在DOS模式下看不到，而且几乎所有的杀毒软件都不会扫描回收站”(日本计算机安全研究中心的远藤)。另外，网络计算机上的系统重启或者调出任意的DLL时，都将会导致Sircam的连锁执行。

　　另外，Trendmicro及Symantec等各防病毒软件公司在Web站点上公布了杀除Sircam病毒的工具。已经安装了防病毒软件的用户应尽快下载数据的最新版本，另外尽量不要打开邮件的附件。

　　(日经BP社 Nikkei Byte)