樣本基本屬性
| 屬性 | 數值 |
|---|
| 類型 | 特洛伊木馬 |
| 大小 | 2,749 位元組 |
| 影響系統 | Win 95/98/Me/NT/2000/XP/2003 |
| 風險指數 | 低（傳播力弱） |
| 破壞力 | 高（刪除系統檔案） |
| 綜合等級 | 二級 |
執行邏輯：日期觸發雙模式
模式 A：非 12/1 月 → 郵件大量發送
- 遍歷 Microsoft 通訊錄，群發郵件。
- 主旨：
Free Msn Upgrade（冒充 MSN 升級）。
- 內文：誘騙開啟附件可獲得「MSN 8 + Messenger 7」。
- 附件：病毒本體副本。
模式 B：1 月 → 破壞系統檔案
- 建立惡意文字檔：
C:\vbsrashdate.txt、C:\Infection.txt、C:\bad\bad.txt。
- 建立資料夾：
C:\bad、C:\badd。
- 建立捷徑
C:\Notepad.lnk 指向 notepad.exe（用途不明，或為干擾分析）。
- 核心破壞：嘗試刪除受感染電腦的**所有系統檔案**，導致作業系統無法啟動。
技術特徵與防禦啟示
- 體積極小（2.7 KB）：易偽裝、易捆綁、易透過郵件/IM 傳播。
- 時間邏輯炸彈：利用系統日期判斷行為，增加靜態分析難度（分析師需調整系統時間才能觀察破壞行為）。
- 社交工程誘餌：冒充熱門軟體升級（MSN），提高用戶開啟附件機率。
- 無自我傳播模組：純依賴社工郵件傳播，屬「被動傳播」木馬，風險指數較低但破壞力極大。
清除與預防
- **斷網隔離**，防止郵件外發。
- 進入安全模式或 WinPE，刪除病毒本體及建立的惡意檔案/資料夾。
- 檢查啟動項、排程任務、服務，清除殘留自啟動項。
- 若系統檔案已被刪除，需以 **SFC /scannow** 或修復安裝/重灌系統恢復。
- 日常預防：**不開陌生附件、不信「免費升級」郵件、保持殺毒軟體即時監控開啟**。
結語
這個樣本雖傳播力弱，但展示了「小體積、高破壞、時間觸發、社工誘騙」的經典木馬設計模式。現代勒索軟體、資料銷毀型木馬同源於此類思維：**不求廣泛傳播，只求精準打擊高價值目標**。防禦關鍵在於「不執行未驗證程式」與「離線備份重要資料」。