Worm.Zotob.D是一个蠕虫病毒。该病毒会开启后门并且利用Plug and Play(MS05-039漏洞)对TCP445端口进行缓冲区溢出攻击。感染该病毒的机器会接收远程控制命令，并且会修改起始及删除用户机器上的狙击波和狙击波变种B，逃避杀毒软件，使用户更难发现该病毒。

概述

病毒行为

概述

病毒别名：

处理时间：2005-08-17

威胁级别：★★★

中文名称：狙击波变种D

病毒类型：蠕虫

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为

1.建立互斥变量"windrg322", 使病毒只有一个在运行.

2.把病毒本身拷贝到:

%System%\\wbev\\windrg32.exe

3.添加起始项,使病毒开机运行:

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

WinDrg32

"%System%\\wbev\\windrg32.exe"

4.尝试链接以下网络来判断机器的网络是否连通和路由能力;

www.google.com

www.ebay.com

www.yahoo.com

5.尝试通过TCP 6667端口开启后门,和以下的IRC服务器建立链接:

xaeti.m00p.org

db23a.hack-syndicate.org

spookystreet.m00p.org

spookystreet.udp-flood.com

6.感染该病毒的机器会接收远程控制者的控制命令进行以下活动:

下载和运行文件;

结束进程;

使用数据字典尝试攻击用户密码;

向www.google.com发送链接请求;

7.在TCP 1117端口开启FTP服务;

8.尝试结束以下进程:

pnpsrv.exe

winpnp.exe

csm.exe

botzor.exe

CxtPls.exe

NHUpdater.exe

ViewMgr.exe

realsched.exe

qttask.exe

CMESys.exe

EbatesMoeMoneyMaker*.exe

9.删除注册表键值:

删除以下键中的

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\Run

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\RunOnce

以下键值

"Windows PNP Server"

"Windows PNP"

"csm Win Updates"

"MyWebSearch"

"WINDOWS SYSTEM"

"Zotob"

"MyWay"

"WeatherOnTray"

"Apropos"

"IBIS TB"

"TBPS"

"Toolbar"

"Hotbar"

"CMESys"

"NavExcel"

"ViewMgr"

"eZula"

"EbatesMoeMoneyMaker"

"Ebates"

"AutoUpdater"

"Gator"

"Trickler"

"QuickTime"

"GatorDownloader"

"eZmmod"

"Viewpoint"

"TkBellExe"

"180"

"WinTools"

"Real"

"QuickTime Task"

"sais"

"msbb"

"saie"

"180ax"

"lgbibsn"

"tov"

10.查找并且删除以下文件夹或者文件:

%SYSTEM%\\pnpsrv.exe

%SYSTEM%\\winpnp.exe

%SYSTEM%\\csm.exe

%SYSTEM%\\botzor.exe

%PROGRAMFILES%\\MyWebSearch

%PROGRAMFILES%\\MyWebSearch\\*.exe

%PROGRAMFILES%\\Hotbar

%PROGRAMFILES%\\Hotbar\\*.exe

%PROGRAMFILES%\\MyWay

%PROGRAMFILES%\\MyWay\\*.exe

%PROGRAMFILES%\\180Solutions

%PROGRAMFILES%\\180Solutions\\*.exe

%PROGRAMFILES%\\Common Files\\WinTools

%PROGRAMFILES%\\Common Files\\WinTools\\*.exe

%PROGRAMFILES%\\Toolbar

%PROGRAMFILES%\\Toolbar\\*.exe

%PROGRAMFILES%\\CxtPls

%PROGRAMFILES%\avExcel

%PROGRAMFILES%\\AutoUpdate

%PROGRAMFILES%\\AutoUpdate\\AutoUpdate.exe

%PROGRAMFILES%\\EbatesMoeMoneyMaker

%PROGRAMFILES%\\eZula

%PROGRAMFILES%\\eZula\\mmod.exe

%PROGRAMFILES%\\Common Files\\GMT

%PROGRAMFILES%\\Common Files\\GMT\\GMT.exe

%PROGRAMFILES%\\Common Files\\CMEII

11.产生随机IP地址,并且尝试利用Plug and Play(MS05-039漏洞)对TCP445

端口进行缓冲区溢出攻击.

12.在目标机器上尝试建立一个下载蠕虫地址的FTP脚本文件,下载的蠕虫病

毒文件名为[NUMBER].exe,并且会运行该病毒,该病毒会记录下已经成功进

行溢出机器IP地址,并且把该地址加到IRC聊天室频道中.