病毒名称：Backdoor.Win32.IRCBot.aex（Kaspersky）

病毒别名：

病毒大小：435,200 字节

加壳方式：

样本MD5：3ede1801994c59b35b96aac2b13852d1

样本SHA1：6ad5556368fe3e497b84e0670d43b948cf7cc1cb

发现时间：2007.8

更新时间：2007.8

关联病毒：

传播方式：通过MSN传播 字串8

技术分析

==========

字串9

MSN蠕虫变种，根据系统语言向MSN联.系人发送诱惑文字消息和带毒压缩包，当联系人接收并打开带毒压缩包中的病毒文件时系统受

字串5

到感染。

字串8

病毒运行后在系统目录生成包含自身的带毒ZIP压缩包：

%Windows%\\G038_jpg.zip

其中包含病毒.文件名为：www.G038_jpg-msn.com 字串2

创建副本：

%Windows%\\CDSpeed.exe

字串7

创建启动项： 字串2

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"CDSpeed.exe"="%Windows%\\CDSpeed.exe"

修改注册表关闭.系统文件保护：

字串1

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows

NT\\CurrentVersion\\Winlogon]

"SFCDisable"=dword:ffffff9d

"SFCScan"=dword:00000000

更改自动关闭.进程等待时间：

字串9

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control]

"WaitToKillServiceTimeout"="7000"

破坏FTP程序文件：

%System%\\tftp.exe

%System%\\dllcache\\tftp.exe

%System%\\ftp.exe

%System%\\dllcache\\ftp.exe

原正常程序复制到：

%System%\\microsoft\\backup.tftp

%System%\\microsoft\\backup.ftp

字串3

根据染毒系统语.言向MSN联系人发送相应诱惑文字消息，同时发送带毒压.缩包G038_jpg.zip诱使联系人接收打开：

字串5

QUOTE:

dessa 鋜 egentligen trevliga: P

gyckel m錽te se dig detta fotografera

du fick se detta dess galet :p

estes s鉶 realmente agrad醰eis :P

wow voc?viu este?

como voc?gosta de me nesta foto

voc?come鏾u ver este seu assim engra鏰do

Bu resimler nasil sence bir bakarmisin :)

su komik resimlerime baksana :D 字串2

bak :P

Kiz kardesim bunlari sana yollamami s鰕ledi ;)

bu resimler space i鏸n nasil

Space ime bun resimleri eklesem sence nasil olur

avete ottenuto vedere questo relativo cos?divertente

come lo pensate osservi qui sguardo di lol

a questo controllo di distorsione di velocit?questo fuori

el lol mi hermana quisiera que le enviara este 醠bum de foto

vengo de fi este foto 醠bum

ey i que hace el 醠bum de foto!

字串4

Si vea el loL del em

l tipo, me acepta por favor su solamente 醠bum de foto: (!

lol meine Schwester w黱scht mich Ihnen dieses Fotoalbum schicken

Geck, nehmen bitte sein nur mich Fotoalbum an: (!

he m鯿hten mein neues Fotoalbum sehen?

hoe vind je dit er uit zien ?

hoe vind je dit ?

echt erg kijk dan

zo hee moet je dit zien echt niet normaal

zo moet je me hier op zien lol 字串2

lol he hoe vind je me hier op

eeeh c mes tof :p

c seulement mes tof de derniers vacances

tu dois voire les tof de notre bande

comment est-ce que je regarde sur cette photo ?

le lol ceci est dr鬺e

ma soeur a voulu que tu regarde ca

d闲aut de la reproduction sonore avez-vous vu ceci ?

looooook :p

loooooooooooool :D

字串1

lol he looks weird on this photo

omg check this out man this is funny

lol you got to see this :P

尝试连接远程IRC：www.worldcasino.to

字串9

清除步骤

========== 字串2

1. 删除病毒创.建的启动项：

字串2

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"CDSpeed.exe"="%Windows%\\CDSpeed.exe"

2. 重新启动计算机

字串2

3. 删除病.毒文件：

%Windows%\\G038_jpg.zip

%Windows%\\CDSpeed.exe

字串7

4. 恢复被破坏.的FTP程序文件，删除：

%System%\\tftp.exe

%System%\\dllcache\\tftp.exe

%System%\\ftp.exe

%System%\\dllcache\\ftp.exe

字串3

然后将%System%\\microsoft\\backup.tftp复制到：

%System%\\tftp.exe

%System%\\dllcache\\tftp.exe

字串3

将%System%\\microsoft\\backup.ftp复制到：

%System%\\ftp.exe

%System%\\dllcache\\ftp.exe 字串2

5. 修改注册.表恢复系统文件保护： 字串4

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows

NT\\CurrentVersion\\Winlogon]

"SFCDisable"=dword:00000000

"SFCScan"键值可以删除。 字串4

6. 恢复系统自动关闭进程等待时间： 字串4

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control]

"WaitToKillServiceTimeout"="20000"

字串1