背景：2004 年病毒之王的「易容術」

Mydoom 在 2004 年年度十大病毒評選中奪冠，沉寂一段時間後推出新變種（反病毒廠商命名：MyDoom.AI / W32/MyDoom-AA / W32/Mydoom.ap@MM）。核心傳播機制不變：**掃描本機郵件地址 + 內建 SMTP 引擎大量發信**，但細節持續進化。

技術指標

項目	數值
類型	蠕蟲
大小	31,744 位元組
影響系統	Win 95/98/Me/NT/2000/XP/2003
威脅等級	低（傳播速度較早期放緩）
破壞力	中
傳播力	中
綜合評價	二級

執行行為全解析

1. 檔案落地

%system%\lsasrv.exe        ; 病毒主體副本（偽裝 LSASS）
%system%\version.ini       ; 無害文字檔
%system%\hsery.sys         ; 無害二進位檔（干擾分析）

2. 註冊表持久化（雙重保險）

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  "lsass" = "%system%\lsasrv.exe"

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
  "Shell" = "explorer.exe %system%\lsasrv.exe"   ; 劫持 Shell，explorer 啟動時順帶跑病毒

3. 干擾分析：建立垃圾檔案並用記事本開啟

在暫存資料夾建立 Mes#wtelw.txt（垃圾資料），呼叫 Notepad 顯示，分析師易誤判為單純惡作劇。

4. 郵件地址收集範圍極廣

掃描 Windows 通訊錄及 **40+ 種副檔名** 檔案：

.adb .asa .asc .asm .asp .cgi .con .csp .dbx .dlt .dwt .edm .hta .htc .htm
.inc .jsp .jst .lbi .php .rdf .rss .sht .ssi .stm .tbb .tpl .txt .vbp .vbs
.wab .wml .xht .xml .xsd .xst

涵蓋網頁原始碼、腳本、資料庫、郵件箱、專案檔等，極大擴大收信人池。

5. 發信過濾：避開安全機構郵箱

不發送至含以下字串的地址：

accoun, certific, listserv, ntivi, support, icrosoft, admin, page,
the.bat, gold-certs, feste, submit, not, help, service, privacy...

6. 社工郵件模板：多樣化偽裝

• 寄件域名偽造：compuserve.com, juno.com, earthlink.net, yahoo.co.uk, hotmail.com, yahoo.com, msn.com, aol.com
• 主旨：Attention!!! / Error / Good day / hello / Mail Delivery System / Mail Transaction Failed / Server Report / Status
• 附件名：body, message, docs, data, file, rules, doc, readme, document
• 附件副檔名：.bat, .cmd, .exe, .scr, .pif, .zip
• 信件內容：Unicode 編碼說明、郵件傳遞失敗通知、色情網站帳號密碼、偽裝病毒警告附帶「免費清除工具」、信用卡新條款、世界銀行偽裝、FBI 網路詐騙投訴中心偽裝……

7. P2P 傳播：偽裝熱門軟體/破解檔

複製自身至 Kazaa, Morpheus, iMesh, eDonkey, LimeWire 共享資料夾，檔名偽裝為：

porno, NeroBROM6.3.1.27, avpprokey, Ad-awareref01R349, winxp_patch,
adultpasswds, dcom_patches, K-LiteCodecPack2.34a, activation_crack,
icq2004-final, winamp5...

8. 終結安全軟體進程（超過 30 個進程名）

i11r54n4.exe, irun4.exe, d3dupdate.exe, rate.exe, ssate.exe, winsys.exe,
winupd.exe, SysMonXP.exe, bbeagle.exe, Penis32.exe, teekids.exe,
MSBLAST.exe, mscvb32.exe, sysinfo.exe, PandaAVEngine.exe, taskmon.exe,
wincfg32.exe, outpost.exe, zonealarm.exe, navapw32.exe, navw32.exe,
zapro.exe, msblast.exe, netstat.exe...

9. 下載額外惡意代碼

從預設 URL 下載第二階段 Payload（文件截斷未列出完整 URL）。

10. 修改 Hosts 檔案：封鎖防毒廠商網站

將 symantec.com, mcafee.com, trendmicro.com, kaspersky.com, f-secure.com, grisoft.com 等 30+ 域名解析至 127.0.0.1，導致用戶無法更新病毒碼、下載專殺工具。

防禦對策

1. 郵件層級攔截：郵件伺服器端啟用附件類型封鎖、內容過濾、DKIM/SPF/DMARC 驗證。
2. 用戶端習慣：不開未預期附件、不信「郵件傳遞失敗/官方通知」要求開啟附件。
3. 修補漏洞：雖 Mydoom 主靠社工，但修補 RPC/DCOM/IIS 等漏洞可阻斷同類蠕蟲。
4. Hosts 異常監控：定期檢查 %systemroot%\system32\drivers\etc\hosts 是否被竄改。
5. 進程白名單/行為防禦：部署 HIPS/EDR，攔截非受信程式修改 Run 鍵、Winlogon Shell、終結安全進程、修改 Hosts 等高危行為。
6. P2P 共享資料夾隔離：不共享系統目錄，定期掃描共享資料夾。

結語

Mydoom 變種展示了蠕蟲作者的「工程化」思維：模組化（郵件引擎、P2P 模組、進程終結器、Hosts 修改器）、配置化（過濾清單、偽裝清單、目標清單）、對抗化（殺毒軟體進程名單、封鎖更新站點）。面對這樣的對手，**單一殺毒軟體已不足夠**，需構建「網關過濾 + 端點 EDR + 網行為分析 + 威脅情報聯動」的立體防禦體系。