病毒名称：Backdoor.Win32.IRCBot.zi（Kaspersky）
病毒别名：
病毒大小：86,528 字节
加壳方式：
样本MD5：7299c5d5d5761779dfedfbd3808c8ed8
样本SHA1：0fd4411e440c07e61090d6cf96b0ebb5dfa75512
发现时间：2007.8
更新时间：2007.8
关联病毒：
传播方式：通过MSN传播

技术分析
==========

病毒向MSN联系人发送消息和伪装成照片的带毒压缩包，当对方联系人接收并打开压缩包中的文件时系统受到感染。

病毒运行后在系统目录生成包含自身的ZIP压缩包：
%Windows%\img807.zip
其中包含的病毒文件名为：img807.jpg-www.photoalbums.com

令创建病毒副本并运行：
%Windows%\vpcrtf.exe

创建启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Visual Application"="vpcrtf.exe"
使用c:\a.bat批处理停止“安全中心”和“WINVNC”服务：

@echo off
net stop "Security Center"
net stop winvnc4
del c:\a.bat
向MSN联系人发送消息和伪装成照片的带毒压缩包%Windows%\img807.zip：

Did you take this picture?
is that you on the left?
How drunk was I in this picture?
Is that your mom in this picture?
lol, your mom just sent me this picture?
连接远程IRC：vpn.basecore.info

Mutex: XIBYC

清除步骤
==========

到down.45it.com下载sreng2.zip（作为备用）和IceSword120_cn.zip(以下简称冰刃)

1. 删除病毒创建的启动项（打开冰刃－注册表－依次找到病毒注册表选项删除即可）：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Visual Application"="vpcrtf.exe"
2. 重新启动计算机

3. 删除病毒文件（打开冰刃－文件－依次找到病毒文件删除即可）：
%Windows%\img807.zip
%Windows%\vpcrtf.exe