通过MSN传播的IRCBot X_0005_jpg.zip mono.exe 解决方案
病毒名称：Backdoor.Win32.SdBot.bzf（Kaspersky）
病毒别名：Backdoor.Win32.SdBot.orv（瑞星）
Win32.Hack.SdBot.388096（毒霸）
病毒大小：388,096 字节
加壳方式：
样本MD5：283ae3d75b6fa817652f6e58d2ee9d84
样本SHA1：de770698c8ce7160f1373185cdbb0ace9675d0b2
发现时间：2007.9
更新时间：2007.9
关联病毒：
传播方式：通过MSN传播
字串4
技术分析：
字串3
MSN蠕虫变种，根据系统语言向MSN联系人发送诱惑文字消息和带毒压缩包，当联系人接收并打开带毒压缩包中的病毒文件时系统受到感染。 字串2
病毒运行后在系统目录生成包含自身的带毒ZIP压缩包：
%Windows%X_0005_jpg.zip
其中包含病毒文件名为：www.X_0005_jpg-msn.com
字串9
创建副本：
%Windows%mono.exe
字串9
创建启动项：
字串9
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"mono.exe"="%Windows%mono.exe"
修改注册表关闭系统文件保护：
字串3
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionWinlogon]
"SFCDisable"=dword:ffffff9d
"SFCScan"=dword:00000000
更改自动关闭进程等待时间：
字串5
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl]
"WaitToKillServiceTimeout"="7000"
破坏FTP程序文件：
%System%ftp.exe
%System%dllcacheftp.exe
%System%ftp.exe
%System%dllcacheftp.exe
原正常程序复制到：
%System%microsoftackup.tftp
%System%microsoftackup.ftp 字串9
根据染毒系统语言向MSN联系人发送相应诱惑文字消息，同时发送带毒压缩包X_0005_jpg.zip诱使联系人接收打开：
字串6
QUOTE:
dessa 鋜 egentligen trevliga: P
gyckel m錽te se dig detta fotografera
du fick se detta dess galet :p
estes s鉶 realmente agrad醰eis :P
wow voc?viu este?
como voc?gosta de me nesta foto
voc?come鏾u ver este seu assim engra鏰do
Bu resimler nasil sence bir bakarmisin :)
su komik resimlerime baksana :D
字串1
bak :P
Kiz kardesim bunlari sana yollamami s鰕ledi ;)
bu resimler space i鏸n nasil
Space ime bun resimleri eklesem sence nasil olur
avete ottenuto vedere questo relativo cos?divertente
come lo pensate osservi qui sguardo di
lol a questo controllo di distorsione di
velocit?questo fuori
el lol mi hermana quisiera que le enviara este 醠bum de foto
vengo de fi este foto 醠bum 字串4
ey i que hace el 醠bum de foto!
Si vea el loL del em
l tipo, me acepta por favor su solamente 醠bum de foto: (!
lol meine Schwester w黱scht mich Ihnen dieses Fotoalbum schicken
Geck, nehmen bitte sein nur mich Fotoalbum an: (!
he m鯿hten mein neues Fotoalbum sehen?
hoe vind je dit er uit zien ?
hoe vind je dit ?
echt erg kijk dan
zo hee moet je dit zien echt niet normaal
字串2
zo moet je me hier op zien lol
lol he hoe vind je me hier op
eeeh c mes tof :p
c seulement mes tof de derniers vacances
tu dois voire les tof de notre bande
comment est-ce que je regarde sur cette photo ? le lol ceci est dr鬺e
ma soeur a voulu que tu regarde ca
d闲aut de la reproduction sonore avez-vous vu ceci ?
looooook :p
loooooooooooool :D
字串3
lol he looks weird on this photo
omg check this out man this is funny
lol you got to see this :P
尝试连接远程IRC：fu.9689635.com 字串8
清除步骤
========== 字串3
1. 删除病毒创建的启动项：
字串3
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"mono.exe"="%Windows%mono.exe"
2. 重新启动计算机
字串8
3. 删除病毒文件：
%Windows%X_0005_jpg.zip
%Windows%mono.exe 字串4
4. 恢复被破坏的FTP程序文件，删除：
%System%ftp.exe
%System%dllcacheftp.exe
%System%ftp.exe
%System%dllcacheftp.exe
字串1
然后将%System%microsoftackup.tftp复制到：
%System%ftp.exe
%System%dllcacheftp.exe 字串5
将%System%microsoftackup.ftp复制到：
%System%ftp.exe
%System%dllcacheftp.exe 字串6
5. 修改注册表恢复系统文件保护： 字串7
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionWinlogon]
"SFCDisable"=dword:00000000
"SFCScan"键值可以删除。
字串9
6. 恢复系统自动关闭进程等待时间：
字串8
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl]
"WaitToKillServiceTimeout"="20000"
字串7
