背景

2004 年 8 月 6 日，Evaman、Mydoom、Reign、Glieder 等病毒活躍，通過變種迷惑用戶、躲避查殺。郵件為主要傳播途徑，冠群金辰提醒謹慎處理可疑郵件。

Win32.Evaman.C

• 高普及度蠕蟲，UPX 壓縮 Win32 EXE，可能作 ZIP 附件隨郵件發送。
• 初始運行打開記事本，復制自身為 %System%\WINTASKS.EXE，修改註冊表開機自啟。
• 收集郵件地址：① 搜索本機通訊錄及 C-Z 盤 .adb/.asp 等文件；② 爬取 email.people.yahoo.com 名稱列表。
• 郵件主題變化：SN: New secure mail、Secure delivery 等；附件名：mail/message/attachment 等。
• 危害：終止含 uba/mc/Mc/av 等進程；2006-01-01 後運行導致系統關機/重啟、服務終止。
• 檢測/清除：KILL安全胄甲 inoculateIT v23.66.04 / vet 11.x/8495。

Win32.Mydoom.P

• 高普及度、中破壞力蠕蟲，郵件+後門傳播，ASP 壓縮。
• 運行復制至 %Windows%\java.exe，移動註冊表鍵值保證自啟。
• 收集地址：搜索固定盤 .tx*/.wab*/.ph* 文件，並爬取 Lycos/Altavista/Yahoo/Google。
• 後門監聽 TCP 1034，嘗試關閉特定窗口類。
• 檢測/清除：KILL安全胄甲 inoculateIT v23.66.02 / vet 11.x/8489。

Win32.Reign.V

• 中破壞力後門特洛伊，未授權進入感染機器。
• 復制至 \x0r\svshost.exe，修改註冊表自啟，建立互斥體確保單實例。
• 鍵盤記錄 DLL asuigg.dll 記錄按鍵至 \x0r\_keys.log 並郵件發送給控制端，竊取敏感信息。
• 具修改系統設置、創建後門、終止進程等危害。
• 檢測/清除：KILL安全胄甲 inoculateIT v23.65.88 / vet 11.x/8477。