发作时间：随机
病毒类型：蠕虫病毒
传播途径：网络/邮件
依赖系统: WIN9X/NT/ 2000/XP

病毒介绍：

该病毒有以下三大特性：

一、邮件传播能力非常强。病毒作者在原来病毒的基础上，做了改良，使得“大无极变种F”病毒不但会搜索地址薄中的邮件地址，还能从网页文件中寻找存在的邮件地址，病毒甚至还能直接在邮件中寻找相关的邮件地址，这些特性大大增强了病毒的邮件传播能力，从而使该病毒能在短时间内就大量泛滥。

二、病毒的局域网传播能力很强。病毒运行时会寻找局域网中的其它计算机，找到后便会将自己复制到这些计算机的启动目录，在下次重启时，这些计算机中的病毒便会被自动激活，然后形成连锁反应，同时向外大量传播并迅速耗尽邮件服务器资源。

三、病毒具有自我升级能力。反病毒工程师还发现，该病毒运行时还会通过网络直接与外界的病毒制造者进行沟通，并通过网络直接将自身升级，这样就可以在传播的过程中完成变异，形成一个新的变种病毒，继续在网络上泛滥。

病毒的发现与清除：

1. 病毒运行时会参内存中产生一个名为：“WINPPR32”的病毒进程，用户可以用任务管理器（CTRL+SHIFT+ESC）或第三方内存编辑工具来找到该病毒进程，并将这个进程杀掉。

2. 病毒运行时，会将自身复制到系统目录，并命名为：%WINDIR%\WINPPR32.EXE，用户可以查找该病毒文件，然后将这个病毒文件删除。

注意：%Windir%是一个变量，它指的是操作系统安装目录，默认是：“C:\Windows”或：“c:\Winnt”,也可以是用户在安装操作系统时指定的其它目录。%systemdir%是一个变量，它指的是操作系统安装目录中的系统目录，默认是：“C:\Windows\system”或：“c:\Winnt\system32”。

3. 病毒会修改注册表的HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项，在其中加入“TrayX ="%WINDIR%\winppr32.exe /sinc"的病毒键值，用户可以用REGEDIT 工具直接删除该病毒键值来避免病毒的自启动。

4. 病毒会通过网络枚举本地局域网资源并试图将病毒文件复制到系统的c$,d$,e$的Windows\All Users\Start Menu\Programs\StartUp及Documents and Settings\All Users\Start Menu\Programs\Startup的目录中,如果用户的计算机是局域网中的计算机，请用户来查看自己的以上目录是否有病毒体，如果有，则可以直接删除病毒文件。

5. 该病毒将使用端口8998/udp向其master发送一个探测报文，作为响应，master将返回一个URL，病毒能从此URL下载文件，master有两个，分别为：A.ROOT-SERVERS.NET或B.ROOT-SERVERS.NET。

6. 病毒带有后门，将打开下列端口：995/udp、996/udp、997/udp、998/udp、999/udp病毒会监听来自这些端口的UDP报文，并分析它，如果是病毒服务发来的升级信息，则病毒用将自己自动更新。

7. 病毒在2003年9月10日会停止传播。

8. 该病毒会以下内容的病毒邮件，用户如果发现，则可以直接将这些邮件删除。

病毒邮件的主题为以下几种可能：

Re: Thank you!
Thank you!
Your details
Re: Details
Re: Re: My details
Re: Approved
Re: Your application
Re: Wicked screensaver
Re: That movie

附件名为以下几种可能：
your_document.pif
document_all.pif
thank_you.pif
your_details.pif
details.pif
document_9446.pif
application.pif
wicked_scr.scr
movie0045.pif

消息正文为以下几种可能：

Please see the attached file for details.
See the attached file for details

用户如果在自己的计算机中发现以上全部或部分现象，则很有可能中了大无极变种F（Worm.Sobig.F）病毒。为避免用户遭受损失，瑞星公司已于截获该病毒当天就进行了升级，瑞星杀毒软件2003版、瑞星在线杀毒、瑞星杀毒软件“下载版”，这三款产品每周三次同步升级，15.49.10版已可清除此病毒，目前瑞星用户只需及时升级手中的软件即可彻底拦截此病毒。

用 户还可以 下载 该病 毒的 专杀工 具来清除“大无极 变种F”病毒，下载 地址为：http://it.rising.com.cn/service/technology/SoBig_download.htm，请用户
及时下载。

如遇到异常情况，可拨打瑞星反病毒急救电话：010-82678800和瑞星紧急救援小组上门服务热线（限北京地区）：010-82678866-552或使用瑞星在线杀毒http://online.rising.com.cn，瑞星反病毒专家将为您提供全方位的技术支持与服务！

瑞星反病毒专家的安全建议：

1. 建立良好的安全习惯。例如：对一些来历不明的邮件及附件不要打开，不要上一些不太了解的网站、不要执行从 Internet 下载后未经杀毒处理的软件等，这些必要的习惯会使您的计算机更安全。

2. 关闭或删除系统中不需要的服务。默认情况下，许多操作系统会安装一些辅助服务，如 FTP 客户端、Telnet 和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大用处，如果删除它们，就能大大减少被攻击的可能性。
3. 经常升级安全补丁。据统计，有80%的网络病毒是通过系统安全漏洞进行传播的，象红色代码、尼姆达等病毒，所以我们应该定期到微软网站去下载最新的安全补丁，以防范未然。

4. 使用复杂的密码。有许多网络病毒就是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数。

5. 迅速隔离受感染的计算机。当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。

6. 了解一些病毒知识。这样就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏：如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果了解一些内存知识，就可以经常看看内存中是否有可疑程序。

7. 最好是安装专业的防毒软件进行全面监控。在病毒日益增多的今天，使用毒软件进行防毒，是越来越经济的选择，不过用户在安装了反病毒软件之后，应该经常进行升级、将一些主要监控经常打开（如邮件监控）、遇到问题要上报， 这样才能真正保障计算机的安全。