Backdoor.Rbot.adx

2008-02-23 09:06:23来源：互联网阅读 ()

病毒名称: Backdoor.Rbot.adx 类别：后门病毒病毒资料：破坏方法：

RBot变种。

集黑客，蠕虫，后门功能于一体。通过局域网共享目录和利用系统漏洞进行传播。

破坏行为如下：

一、IRC（Internet Relay Chat）连接。

试图通过"real.profess.us" 的TCP 62173 端口建立通讯。

二、文件和注册表

1. 复制自己到系统目录，命名为“system64.exe”。

2. 在下列键添加启动项“irda Microsoft driver”使病毒随Windows的启动而自动运行。每隔一分钟进行一次修改。

HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run

HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\RunServices

3. 修改系统设置。每隔两分钟进行一次修改。

HKEY_LOCAL_MACHINE\Software\Microsoft
\OLE\EnableDCOM = N

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Control\Lsa\restrictanonymous = 0x1

三、监听本地113端口，建立通讯后，接收远程控制命令。可以进行下列控制操作。

1. 偷用户正版游戏的序列号。

Command & Conquer Generals 、
FIFA 2003 、NFSHP2 、SOF2 、
Soldier of Fortune II - Double Helix
Battlefield 1942
Project IGI 2 、Unreal Tournament 2003
Half-Life

2. 猜测局域网内其他机器的ipc连接密码。一旦成功连接，把病毒复制过去，并运行起来，进行新的破坏。病毒带有一个密码字典，包含一百多个数字、字母、词汇的简单组合。

3. 记录键盘输入。通过这种方式可以获得用户的各种密码（Windows登陆、邮箱、论坛、游戏、网络支付等等）。

4. 发动SYN 攻击，造成指定机器拒绝服务。

5. 下载文件并运行。往往用作传递新的远程控制程序，进行直接控制。

6. 终止系统的进程和线程。

四、病毒频繁的扫描内存进程，终止并禁止反病毒软件的运行。

五、病毒可以建立一个HTTP、FTP服务器，进行文件上传、下载和运行操作。

六、病毒使用的字典如下，建议用户一定使用复杂的密码。

1234567890
123456789
12345678
1234567
123456
12345
pass1234
passwd
passWord
password1
Oracle
database
default
guest
wwwadmin
teacher
student
......
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2004-12-27

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有