病毒名称：win95.zippedfiles

别名：worm.explore.zip，troj_explorezip,w32/explorezip.worm@m

病毒特点：

win95.zippedfiles是一种通过internet传播的蠕虫病毒。它以文件的形式附在email中，文件名为“zipped_files.exe”。这是一个delphi可执行文件，文件长约210kb。这个文件代码的大部分是delphi的实时库、数据和类，大约10kb的文件代码是“纯”蠕虫病毒代码。

病毒自身被执行后进入系统，在当前邮件收件箱中寻找邮件地址，然后将自身复制，以邮件附件的形式随邮件信息发送到已找到的邮件地址：hi<nameofrecipient>!,ireceivedyouremailandishallsendyouareplyasap.tillthen,takealookattheattachedzippeddocs.bye用户收到如上好像回复信息的邮件，用户名在首列，邮件主题是随机的，但是通常邮件主题是以前发送的email主题。附件使用winzip图标显示。病毒进入系统（在windows95/98或nt的32位操作系统中）运行后，生成setup.exe文件（在windows目录）和explore.exe文件（在windows\system目录），例如：c:\windows\_setup.exec:\windows\system\explore.exe以上操作是在用户全然不知的情况下进行的，接着弹出一个消息窗，声明zip自解压文件被终止，"cannotopenfile:itdoesnotappeartobeavalidarchive.ifthisfileispartofazipformatbackupset,insertthelastdiskofthebackupsetandtryagain.pleasepressf1forhelp."病毒在win.ini文件中添加如下命令行：在windows9x中：run=c:\windows\system\explore.exe在windowsnt中：“run”=”c:\\winnt\\system32\\explore.exe”添加常驻启动键（如下）：hkey_current_user\software\蠕虫驻留内存，它一旦被激活，系统即关闭死机。蠕虫的任务不在活动窗口，也不会在任务栏中看到它，但是可在任务列表（ctrl-alt-del）中看到它使用的文件副本的名字：zipped_filesexplore_setup蠕虫不检查其自身是否已在windows系统内存中复制，所以，可能会在内存中找到多个蠕虫的入口。当系统应用进行时，蠕虫的主程序分4个线程运行:安装线程枣蠕虫文件拷贝到windows目录并驻留，internet传播线程和两个文件被破坏线程。其中，第二个（最重要的）线程枣使用各种基于标准mapi的邮件系统发送email信息，这些邮件系统包括msoutlook，msoutlookexpress等。蠕虫使用不同的mapi分4次尝试登录已安装email的系统：缺省的、msoutlook、msoutlookinternetsettings、msexchange。与email连接后，蠕虫监视所有到达的消息--蠕虫无限次循环扫描收件箱信息并回复它们，回复信息使用邮件的同一主题，邮件的消息内容同上。蠕虫不能回复同一邮件信息两次，也不能回复自身的信息。对已感染病毒的邮件，蠕虫在邮件主题（subject）字串的结尾添加tab字符作为标记。每次病毒扫描收件箱的邮件信息，得到主题域（subject），如果在结尾找到tab，就跳过此消息。蠕虫病毒除了在收件箱中未读取的消息以外不能回复在收件箱中的其它信息。请注意蠕虫病毒传染过程中的两个状态--只回复未读信息和不回复同一信息两次，这是非常重要的。在已知的蠕虫病毒版本中都是如此，但是在下一个蠕虫病毒版本中蠕虫传染的线程得到控制，可能每次都会回复收件箱中的所有消息。结果，事情仿佛如下所示：当蠕虫病毒第一次在电脑中运行，它利用在收件箱中找到的所有未读的消息发送染毒信息。它将tab字符标记在带毒消息中，且不再感染它们。当从internet接收到一个新消息并在收件箱中显示出来，蠕虫病毒立刻发送以上所列的正文“回答”。此病毒具有非常大的危害性。每次被执行，它运行两个多线程扫描本地和网络驱动器的目录树，寻找.c,.h,.cpp,.asm,.doc,.xls,.ppt并将它们清零。蠕虫病毒使用“生成-关闭”（creat-and-close）手段删除文件正文并置文件长度为零，结果文件变得不可恢复的。