Worm.Raleka.a.enc

2008-02-23 09:20:00来源：互联网阅读 ()

病毒名称: Worm.Raleka.a.enc 类别：蠕虫病毒病毒资料：破坏方法：

通过微软RPC DCOM漏洞传播的蠕虫病毒采用LCC编写，UPX压缩，是一个通过微软操作系统的RPC DCOM漏洞传播的IRC蠕虫.

病毒一旦执行，首先将到下列链接地址下载如下两个文件到系统目录：

http://www.***.es/~900k/ntrootkit.exe
http://www.***.es/~900k/ntrootkit.reg

病毒使用自己的引擎连接到IRC服务器：

IRC.IRCSOULZ.NET:6667并加入一个channel，等待指令。

病毒使用随机的IP地址<135端口>扫描来扫描未打微软补丁的机器，如果发现则发送特殊的数据包导致远程机器的RPC服务崩溃，导致运行病毒设计的代码,而这段代码就是打开并监听TCP端口，同时返回一个隐藏的cmd shell，这样，病毒就可以控制远程的机器；

当病毒侵入一台机器后，病毒将试图替代系统目录下的svchost.exe，并命令其从攻击主机下载上述两个NTROOTKIT文件<黑客工具包>，被侵入机器的IP地址将保存在系统目录下的文件：

"RPCss.INI"中可能导致系统异常导致212.59.199.*和***.IRCSOULZ.NET网络交通堵塞
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： WINDOWS下的PE病毒。
发现日期： 2003-9-1

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有