Backdoor.Win32.IRCBot.afm(video.exe)病毒的處理方法

更新時間：2007年09月28日 20:14:33 作者：

文件名稱：video.exe

文件大?。?0960 bytes

AV命名：Backdoor.Win32.IRCBot.afm (Kaspersky)

加殼方式：未知

編寫語言：Microsoft Visual C++

病毒類型：IRC后門

文件MD5：c06d070c232bc6ac6346cbd282ef73ae

行為分析:

1、釋放病毒副本：

%Srstemroot%system32\firewall.exe    40960 字節(jié)。

（文件名應該是隨機的，不一定是這個）。

壓縮副本病毒，保存為壓縮包。并隨機命名，可能是：

IMG0007.PICTUREUPLOAD.COM
IMG0007
game
video
photoalbum

2、修改注冊表，開機自啟：

HKLM\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Run

Registry value: Windows Network Firewall         Type: REG_SZ

指向：%Srstemroot%system32\firewall.exe

3、添加到系統(tǒng)防火墻的忽略列表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\List

鍵名為：%Srstemroot%system32\firewall.exe，實現(xiàn)穿墻。

4、連接72.10.167.**IRC服務器，接受遠程控制，可在被控端終止任意進程，并利用為跳板或DDOS攻擊。

可能接受以下命令：

QUIT
PART
JOIN
TOPIC
NOTICE
PRIVMSG
ddos
servu
serv u
serv-u
clone
flood

5、下載其他木馬，技術(shù)行為都差不多，隨機命名的。

6、枚舉局域網(wǎng)絡(luò)資源，嘗試利用IPC、print、Admin等共享傳播病毒，以下面字典猜用戶和口令：

db1234
databasepassword
databasepass
dbpassword
dbpass
domainpassword
domainpass
hello
hell
love
money
slut
**
**
exchange
loginpass
login
win2000
winnt
winxp
win2k
win98
windows
oeminstall
accounting
accounts
letmein
outlook
mail
qwerty
temp123
temp
null
default
changeme
demo
test
2005
2004
2001
secret
payday
deadline
work
1234567890
123456789
12345678
1234567
123456
12345
1234
pass
pass1234
passwd
password
password1
若成功，則拷貝病毒副本至對方目錄，可能是：

C:\Documents and Settings\All Users\Documentsc:\windows\system32
c:\winnt\system32
c:\windows
c:\winnt

7、利用系統(tǒng)漏洞傳播（Lsass、RPC等漏洞），攻擊的IP范圍：

124.72.143.173（起始） - 隨機。

被攻破的計算機可能被傳播該病毒。

8、嘗試以管理員身份連接其他服務器，可能是下列未授權(quán)的用戶名：

staff
teacher
owner
student
intranet
main
office
control
siemens
compaq
dell
cisco
oracle
data
access
database
domain
backup
technical
mary
katie
kate
george
eric
none
guest
chris
neil
brian
susan
luke
peter
john
mike
bill
fred
wwwadmin
oemuser
user
homeuser
home
internet
root
server
linux
unix
computer
admin
admins
administrat
administrateur
administrador
administrator

如成功，則讀取并試圖破解FlashFXP\sites.dat。

然后可能會將病毒文件復制到該服務器。

9、嘗試盜取一些CD-Key，可能是Unreal3、World Of Warcraft等。

解決方法：

1、下載sreng2.zip

2、重啟，按F8進入安全模式。

3、打開SREng，刪除注冊表：

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

      <Windows Network Firewall><C:\winnt\system32\firewall.exe>    []

PS:可能鍵值也文件名不同。注意區(qū)別哈，不懂的話，把日志發(fā)到反毒區(qū)。。

4、一定要打齊系統(tǒng)漏洞。。

您可能感興趣的文章: