病毒名称:
Backdoor.Rbot.aft
类别: 后门病毒
病毒资料:
破坏方法:
Rbot病毒变种。是一种IRC后门。集黑客、蠕虫、后门功能于一体。
通过局域网共享目录和利用系统漏洞进行传播。体内带有弱口令字典,用户如不注意设定密码则系统很容易被攻破。
将自己拷贝到系统目录下,文件名为sygate.exe。
写注册表启动项
HKLM\Software\Microsoft\Windows
\CurrentVersion\Run
Sygate services = sygate.exe
HKLM\Software\Microsoft\Windows
\CurrentVersion\RunServices
Sygate services = sygate.exe
这样,每次开机病毒都能启动。病毒运行中每隔0.12秒写一次注册表,防止用户手工删除注册表项。
病毒每隔30秒遍历一次进程,结束下列程序:
ACKWIN32.EXE,
ADAWARE.EXE,
ADVXDWIN.EXE,
AGENTSVR.EXE,
AGENTW.EXE,
ALERTSVC.EXE,
ALEVIR.EXE,
ALOGSERV.EXE,
AMON9X.EXE,
ANTI-TROJAN.EXE,
ANTIVIRUS.EXE,
ANTS.EXE,
APIMONITOR.EXE,
APLICA32.EXE,
APVXDWIN.EXE,
ARR.EXE,
ATCON.EXE,
ATGUARD.EXE,
ATRO55EN.EXE,
ATUPDATER.EXE,
ATUPDATER.EXE,
ATWATCH.EXE,
AU.EXE,
AUPDATE.EXE,
AUPDATE.EXE,
AUTODOWN.EXE..
其中大多数为反病毒软件和防火墙。
每隔两秒试图连接特定IRC服务器的特定频道,接受黑客控制,发送本地系统信息。接收黑客发来的命令在本地执行,并将执行结果发会IRC聊天频道。从而使黑客控制电脑。
病毒会扫描网段内的机器并猜测共享密码,会占用大量网络带宽资源,容易造成局域网阻塞。
病毒的清除法:
使用光华反病毒软件,彻底删除。
病毒演示:
病毒FAQ:
Windows下的PE病毒。
发现日期:
2005-1-11