病毒名称:
Backdoor.Win32.IRCBot.i
类别: 后门病毒
病毒资料:
破坏方法:
一个基于IRC的后门病毒.
病毒行为:
病毒运行后将自己复制到%system%目录下,文件名为:appNv.exe并在注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run
和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\RunServices中
加入自己的键值 "nvappw" =%system%\appnv.exe以达到随系统启动的目的。
随后病毒在一个随机的端口上建立一个FTP服务进线程.并以随机的昵称登录上一个特定的IRC频道.以便病毒作者进行控制。
IRC后门:
病毒作者可以通过IRC对中了病毒的系统进行控制,这时被控系统成为一个攻击平台.
操作者可以进行以下操作:
1.文件上传下载
2.对局域网附近的系统进行ms04011漏洞扫描.
3.对局域网附近的系统进行传播.
病毒通过对目标系统进行ipc$空密码联接,一旦成功病毒将自己复制到下以目录。
"目标系统"\C$\windows\system32
"目标系统"\C$\Documents and Settings\All Users\Documents\%s
"目标系统"\C$\shared\%s
"目标系统"\\IPC$\%s
"目标系统"\C$\winnt\system32\%s
"目标系统"\ADMIN$\system32\%s
并以调度任务方式在远程系统上启动.
等等..
病毒的清除法:
使用光华反病毒软件,彻底删除。
病毒演示:
病毒FAQ:
Windows下的PE病毒。
发现日期:
2005-1-12