Worm.Win32.Padobot.m

2008-02-23 09:17:35来源：互联网阅读 ()

病毒名称: Worm.Win32.Padobot.m 类别：蠕虫病毒病毒资料：破坏方法：

一个蠕虫病毒,采用upx压缩

病毒行为:

病毒运行后将自己复制到％system％目录下,文件名为:％随机字符％.exe并在注册表:

HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run中加入自己的键值:
"Cryptographic Service"
= ％随机字符％.exe 以达到随系统启动的目的.

随后病毒驻留内存实现以下功能:

1.盗取用户信息:

当病毒发现有窗口标题含有以下字串时,将监视用户键盘信息等,并将其上传到一个特定网站.

www.redline.ru
filesearch.ru
roboxchange.com
fethard.biz
asechka.ru
master-x.com
color-bank.ru
kavkaz.tv
crutop.nu
kidos-bank.ru
parex-bank.ru
adult-empire.com
konfiskat.org
citi-bank.ru
xware.cjb.net
mazafaka.ru
....

2.网络传播:

病毒根据当前系统ip地址,进行随机计算得到目标系统ip并尝试进行MS04011漏洞的攻击.
(病毒会根据目标系统使用的smb协议版本推算出目标系统的操作系统版本,从而提高攻击命中率.)一但成功,被攻击系统将利用tFTP到攻击发动者这里下载病毒文件,并运行,从而达到传播目的.

3.杀毒黑名单进程.

病毒体内包含一份很短的黑名单,病毒不断的遍历系统进程列表,当发现有和黑名单相符的进程时,将其杀死。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。

发现日期： 2005-1-4

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有