病毒檔案

名稱：W32/Lovgate.r@M
發現：2004-03-22
大小：97,280 字節
傳播：Email、RPC 漏洞、U 盤/移動硬盤、網絡共享。新變種通過 445 端口掃描鄰近 IP 共享目錄，弱口令破解成功後共享 media 目錄，啟動 NETMANAGER.EXE 遠程管理程序作服務器繼續掃描傳播。

生成文件 (部分)

%System%\Hxdef.exe、%System%\iexplore.exe、%System%\WinHelp.exe、%System%\NetMeeting.exe、%System%\spollsv.exe、%SysDir%\kernel66.dll、%SysDir%\RAVMOND.exe、%WinDir%\SYSTRA.EXE、%SysDir%\msjdbc11.dll、%SysDir%\MSSIGN30.DLL、%SysDir%\ODBC16.dll、%System%\LMMIB20.DLL、C:\COMMAND.EXE (寫入 autorun.inf，雙擊磁盤自動運行)。

註冊表自啟動項 (關鍵)

HKCU\Software\Microsoft\WindowsNT\CurrentVersion\Windows "run" = RAVMOND.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "Program In Windows" = %SysDir%\IEXPLORE.EXE
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices "SystemTra" = %WinDir%\SysTra.EXE
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "VFW Encoder/Decoder Settings" = RUNDLL32.EXE MSSIGN30.DLL ondll_reg  (後門服務)

三個自動生成服務 (後門核心)

1. _reg：Rundll32.exe msjdbc11.dll ondll_server，自動啟動，提供後門。
2. Windows Management Protocol v.0：同 DLL 參數，高級服務器，掃描局域網。
3. Windows Management Network Service Extensions：NetManager.exe -exe_start，遠程管理程序，提供後門。

頑固特性

• 自動檢測進程，被關閉即再生；插入線程到 EXPLORER.EXE 或 TASKMGR.EXE，幾乎無法手動完全關閉進程。
• 各磁盤分區創建 AUTORUN.INF 指向 COMMAND.COM/EXE 病毒文件，雙擊磁盤無法打開 (右鍵可開)。
• 檢測移動/映射/超 E 盤符磁盤，將 EXE 文件改名為 .ZMX 隱藏，創建同名 125K 病毒體 EXE。
• 自動刪除主流殺毒/防火牆進程 (KV、KAV、Duba、NAV、kill、RavMon、Rfw、Gate、McAfee、Symantec、SkyNet、Rising 等) —— **裝了殺毒軟件不等於絕對安全！**

查殺方法

1. 安全模式 / DOS 啟動盤下查殺，至少兩遍。Symantec/瑞星專殺工具下載見原文。
2. 恢復被改名 .EXE：顯示所有文件含後綴，將隱藏 .ZMX 改回 .EXE。
3. 刪除 AUTORUN.INF 恢復雙擊打開磁盤：顯示所有文件刪除各分區 AUTORUN.INF；註冊表 HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 尋找含 shell/autorun 子項的項，刪除 shell 子項。
4. 手動修復註冊表殘留：殺毒後提示缺少 DLL，手動刪除相關啟動項。
5. 關閉磁盤共享、設置強密碼、打全系統補丁 (每個補丁都有價值)。
6. 小心打開郵件，頻繁郵件建議啟用信箱自動查毒。

RPC 服務重啟難題與解決

中毒症狀似沖擊波/震盪波 (反覆重啟)。關閉 RPC 後無法通過服務屬性頁重啟，導致啟動緩慢、窗口最小化不顯示、無法複製粘貼、無法打開二級網頁、找不到 RPC 屬性頁。

常規三法 (針對啟動類型被改為禁用)

1. 註冊表：HKLM\SYSTEM\CurrentControlSet\Services\RpcSs\Start 改 2 (自動)，重啟。
2. 命令：sc config RpcSs start=auto。
3. 故障恢復控制台：enable RpcSs service_auto_start。

作者測試均失效。原因：**關閉 RPC 是禁用關聯的「硬件配置文件服務」，而非改變啟動類型 (Start 值仍為 2)。必須先啟用硬件配置文件服務，才能啟用 RPC。**

終極解法：對比註冊表差異定位鍵值

1. 備份禁用前/後註冊表 (僅 HKLM\SYSTEM 分支) 導出為文本。
2. 用 Word「比較並合併文檔」找出差異。
3. 發現禁用後多兩分支：

   HKLM\SYSTEM\CurrentControlSet\HardwareProfiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_RPCSS
   HKLM\SYSTEM\CurrentControlSet\HardwareProfiles\Current\System\CurrentControlSet\Enum\ROOT\LEGACY_RPCSS
   

4. 刪除第一個分支即可重新啟用 RPC 服務。

結語

Lovgate 集蠕蟲、後門、黑客、盜密於一身，破壞力極強。查殺需進入安全模式/DOS，配合專殺工具、手工修復註冊表與 AUTORUN、強密碼/全補丁/關共享。RPC 重啟難題揭示：服務依賴關係複雜，單純改啟動類型無效，需從硬件配置文件服務入手。備份註冊表對比法為解決疑難雜症利器。