病毒名称(中文):
病毒别名:
Exploit.Win32.MS04-028.gen[AVP]
威胁级别:
★★☆☆☆
病毒类型:
其它
病毒长度:
4098
影响系统:
未打MS04-028补丁的英文版WinXPSP1
病毒行为:
该病毒利用MS04-028的GDI+漏洞，假如用户机器没有打相应补丁，并使用资源治理器浏览了该文件，可能导致用户机器从连接木马种植者指定的FTP地址，并从该FTP下载木马文件，并运行这些木马，以达到远程监控感染机器目的
1、当用户通过资源治理器浏览该文件后，病毒会利用GDI+漏洞，尝试溢出执行下载命令。假如溢出失败，则会导致资源治理器崩溃
2、假如溢出成功，则病毒尝试从以下FTP上下载远程控制文件
ftp://2××.1××.4×.2×/www/system/
文件包括：
文件名大小
AdmDll.dll90112
Fport.exe114688
ServUStartUpLog.txt663
VNCHooks.dll32768
WinRun.dll1407
WinRun.exe811008
driver.log1268
drives.exe24576
execute.bat150
filter3.ocx0
irc-u.cfg1052
irc-u.dat0
irc-u.debug.log16802
irc-u.dll102400
kill.exe26624
nc.exe59392
nvsvc.exe241664
nvsvc32.dll36864
omnithread_rt.dll45056
peek.exe34304
raddrv.dll29408
radmin.reg713
rcrypt.exe26112
reg.exe40960
uptime.exe6656
vns.exe208896
3、运行execute.bat文件，通过Radmin远程治理工具，建立后门，端口为10002。
4、会建立一个IRC连接，连接到#FurQ频道。