【赛迪网讯】从2月3日上午9点20分开始，许多MSN Messenger用户都收到好友传来的“underware.pif”、“bedroom-thongs.pif”、“Hot.pif”、“LOL.scr”文件。文件名会不断自动更改，文件大小为185KB，实质是一个MS-DOS可执行文件。这是最新的未知MSN病毒，MSN 6.0/6.2.7.0Beta用户都有可能受到感染。用户中毒后会反复登录MSN Messenger并向所有在线好友发送不断自动生成新文件名的病毒。
赛迪网在第一时间通知了各大反病毒软件厂商，并将继续予以关注，本站接到的瑞星公司分析报告称：用户点击运行病毒文件之后，会看到一只鸡的搞笑图片，这时候用户就已经中毒。该病毒除了利用MSN向外发送病毒文件，消耗系统资源之外，还会在中毒电脑里放置后门程序，使黑客可以远程控制该电脑，从而使用户面临极大的安全威胁。根据病毒发作状况，瑞星公司将之命名为“性感烤鸡（worm.msn.chicken）”病毒。
--------------------------------------------------------------------------------
江民公司也很快给出了详细的病毒分析报告，主要内容节录如下：
MSN幽灵蠕虫病毒的最新变种I-Worm/MSN.DropBot.b，它可以释放出“罗伯特”后门病毒的最新变种Backdoor/RBot.zj。
“罗伯特”病毒家族及其近亲Backdoor/Agobot家族可以使用户系统可被黑客完全控制，成为“僵尸电脑”。并能够通过多种系统漏洞和弱口令传播，感染能力极强。2004年江民公司截获该类病毒近3000个变种。最新变种增加通过MSN传播的功能，感染性更胜以前。
病毒具体技术特征如下：
自动向用户所有MSN好友发送带毒文件，可能的文件名有：
LOL.scr
Webcam.pif
bedroom-thongs.pif
naked_drunk.pif
LMAO.pif
ROFL.pif
underware.pif
Hot.pif
new_webcam.pif
释放“罗伯特”病毒最新变种程序winhost.exe。winhost.exe运行后，会将自身复制到%SystemDir%\winhost.exe（124416字节），并在注册表启动项
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
中添加：
"win32" = "winhost.exe"
这样，系统每次启动时，病毒都可以自动运行。
和以前变种类似，病毒程序winhost.exe会通过微软的WebDav漏洞、冲击波漏洞、震荡波漏洞和管理员账号弱口令等途径传播。并从IRC上接收黑客命令，使被感染计算机完全被黑客控制，成为“僵尸电脑”。
目前江民公司和瑞星公司都在第一时间升级了病毒库，KV2005和瑞星2005的用户及时升级后能够抵御该病毒的攻击。在此请各位读者拒绝接收该文件并尽快通知公司网管人员发出通告。
