病毒名称:Backdoor.Win32.IRCBot.zi(Kaspersky) 病毒别名: 病毒大小:86,528 字节 加壳方式: 样本MD5:7299c5d5d5761779dfedfbd3808c8ed8 样本SHA1:0fd4411e440c07e61090d6cf96b0ebb5dfa75512 发现时间:2007.8 更新时间:2007.8 关联病毒: 传播方式:通过MSN传播
技术分析 ==========
病毒向MSN联系人发送消息和伪装成照片的带毒压缩包,当对方联系人接收并打开压缩包中的文件时系统受到感染。
病毒运行后在系统目录生成包含自身的ZIP压缩包: %Windows%\img807.zip 其中包含的病毒文件名为:img807.jpg-www.photoalbums.com
令创建病毒副本并运行: %Windows%\vpcrtf.exe
创建启动项:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Microsoft Visual Application"="vpcrtf.exe" 使用c:\a.bat批处理停止“安全中心”和“WINVNC”服务:
@echo off net stop "Security Center" net stop winvnc4 del c:\a.bat 向MSN联系人发送消息和伪装成照片的带毒压缩包%Windows%\img807.zip:
Did you take this picture? is that you on the left? How drunk was I in this picture? Is that your mom in this picture? lol, your mom just sent me this picture? 连接远程IRC:vpn.basecore.info
Mutex: XIBYC
清除步骤 ==========
到down.45its.com下载sreng2.zip(作为备用)和IceSword120_cn.zip(以下简称冰刃)
1. 删除病毒创建的启动项(打开冰刃-注册表-依次找到病毒注册表选项删除即可):
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Microsoft Visual Application"="vpcrtf.exe" 2. 重新启动计算机
3. 删除病毒文件(打开冰刃-文件-依次找到病毒文件删除即可): %Windows%\img807.zip %Windows%\vpcrtf.exe
|