(瑞星编译)
病毒名称：W32.Sircam.Worm@mm
别名： W32/SirCam@mm, Backdoor.SirCam
蠕虫W32.Sircam.Worm@mm自身包含 SMTP引擎，感染方式有点类似W32.Magistr.Worm。
该蠕虫目前已经被列为危险级病毒。
触发日期：10月16日
病毒行为：
蠕虫将染毒机器中产生的随机文档隐藏到自身代码中；
蠕虫将删除C盘上的所有文件及文件夹，仅当系统日期格式为
D/M/Y（日/月/年）；
每次启动时蠕虫通过向c:\recycled\sircam.sys文件中添加文本使硬盘上的空余空间被充满，
文本中包含下面的字符串：
[SirCam_2rp_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
或
[SirCam Version 1.0 Copyright ￢ 2000 2rP Made in / Hecho en - Cuitzeo,
Michoacan Mexico]；
病毒传播：
1）邮件：从两种渠道获取邮件地址：
-----按照注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Explorer\Shell
Folders\Startup\Cache
指定的路径搜索下列文件：sho*., get*., hot*., *.htm并将邮件地址拷贝到
%Windows%\sc??.dll (其中？代表随机的数字或字母)
-----搜索所有驱动器，寻找*.wab文件（ Windows地址簿）并拷贝其中的邮件地址。
邮件内容：
主题：随机，但与附件的文件名相同。
消息主体：第一行和最后一行不变，其他部分随机。
英文：
First line: Hi! How are you?
I send you this file in order to have your advice
I hope you can help me with this file that I send
I hope you like the file that I send you
This is the file with the information that you ask for
Last line: See you later. Thanks
西班牙文：
First line: Hola como estas ?
Te mando este archivo para que me des tu punto de vista
Espero me puedas ayudar con el archivo que te mando
Espero te guste este archivo que te mando
Este es el archivo con la informacion que me pediste
Last line: Nos vemos pronto, gracias.
附件：
SirC32.exe
Tech Specs and Financials.doc.com
2）共享驱动器：搜索所有共享驱动器将蠕虫复制到该驱动器中。并执行：
------将自身拷贝到\recycled\sirc32.exe
------在\autoexec.bat文件中添加一行：
"@win \recycled\sirc32.exe"
------复制文件\Windows\rundll32.exe到\Windows\run32.exe
------用本地文件 c:\recycled\sirc32.exe替换\Windows\rundll32.exe
其他：
1.蠕虫复制自身到 %TEMP%\ 、 C:\recycled\其中包含附件中的文档（doc,xls.zip）。
2.拷贝自身到C:\recycled\sirc32.exe 、 %System%\scam32.exe。
3 添加注册键的值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
值：Driver32=%System%\scam32.exe
创建注册键HKEY_LOCAL_MACHINE\Software\SirCam
其中包含下列值：
FB1B - 保存蠕虫在recycled目录中的文件名。
FB1BA -保存 SMTP的 IP地址。
FB1BB - 保存发送者的邮件地址。
FC0 - 保存蠕虫已经执行的次数。
FC1 - 保存蠕虫的版本。
FD1 - 保存已经执行的蠕虫文件名。
设置注册键HKEY_CLASSES_ROOT\exefile\shell\open\command
为 C:\recycled\sirc32.exe "%1" %*"
作用是当任何一个EXE文件运行时，都会执行蠕虫。
4、按照注册表
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
Folders\Startup\Personal
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
Folders\Startup\Desktop
指定的路径搜索下列类型的文件 .DOC, .XLS, .ZIP, 和 .EXE，找到匹配的文件后将添加蠕虫，新文件将作为邮件附件被发送。
5、当蠕虫执行8000次后，会停止执行。
[手工解决办法]
1、清空回收站，因为Sircam.sys文件将隐藏在回收站中
2、在DOS模式下打开Autoexec.bat文件，如果有如下字段则删除"@win \recycled\sirc32.exe"
3、更改注册表
将regedit.exe 改名为 regedit.com 因为此种病毒在每运行一次exe文件的同时都会发作一次
进入dos模式，键入"copy regedit.exe regedit.com"。
回到windows模式，进入注册表编辑器，查找主键：
HKEY_CLASSES_ROOT\exefile\shell\open\command
删除其原有键值，并将其键值改为 "%1" %*
查找主键 HKEY_LOCAL_MACHINE\Software\SirCam 并将其删除
查找主键 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
在其右侧的面板中，如果有 Driver32. 则坚决删除
瑞星12.33版本已经成功捕获该病毒，请用户及时下载升级。
您的位置：