该病毒运行后，衍生病毒文件到系统目录下，添加注册表自动运行项以跟随系统引导病毒体。病毒体从指定服务器下载病毒体到本机运行，连接 IRC 服务器等待接收指令。枚举本地网络地址，对目的地址 135 端口进行扫描予以溢出。此病毒可通过网络共享、弱口令传播。

病毒信息

行为分析

清除方案

病毒信息

病毒名称： Backdoor.Win32.IRCbot.ace

中文名称： IRC后门

病毒类型： 后门类

文件 MD5： AE08FBD92E55036EDC296D5BF99B5700

公开范围： 完全公开

危害等级： 4

文件长度： 73,317 字节

感染系统： WinNT以上系统

开发工具： Microsoft Visual C++ 6.0

加壳类型： Krypton 0.5变形壳

行为分析

1 、复制自身到 %system32% 文件夹下，并按内置列表随机重新命名。

内置列表：

winamp.exe

winIogon.exe

firewall.exe

spooIsv.exe

spoolsvc.exe

Isass.exe

lssas.exe

algs.exe

logon.exe

iexplore.exe

csrs.exe

2 、新建注册表键值：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

键值：字串： "Windows Logon Application"="C:\\WINDOWS\\System32\\( 病毒名 )"

3 、衍生自删除 bat 文件在当前路径下，并调用删除自身， bat 文件名为随机生成。

4 、 IRC 服务器名：

5 、加入的 IRC 频道名：

频道名： #last

频道名： #rs2

用户名：随机

密码：空

6 、 IRC 服务端可响应下列命令：

nick ：设置昵称

quit ：退出

join ：加入一个频道

open ：

user: 设置用户名

unkuser %s %s %s :%s

pass: 设置口令

notice %S privmsg %s:

privmsg %s

notice %s :privmsg %s :

message

send

ping: 服务端向客户端发送 ping 命令

pong: 客户端回应 pong 命令

dcc send %s (%s): 传送文件

get /%s http/1.0\\host: %s\\\\

mode %s +smntu ：修改频道或用户模式

mode %s +xi001mode %s +smntu

userhost %smode %s +xi001mode %s +smntu

userhost %smode %s +xi001mode %s +smntu

451userhost %smode %s +xi001mode %s +smntu

302451userhost %smode %s +xi001mode %s +smntu

// 扫描命令模式

-x 3 2000 fh 1024 jan 1 0:00 .\\drwxr-xr-x 3 2000 fh 1024 jan 1 0:00 ..

\\-rwxr-xr-x 3 2000 fh %u jan 1 0:00 %s\\

226 -\\-x 3 2000 fh 1024 jan 1 0:00 .\\drwxr-xr-x 3 2000 fh 1024

jan 1 0:00 ..\\-rwxr-xr-x 3 2000 fh %u jan 1 0:00 % s\\

226 -\\-x 3 2000 fh 1024 jan 1 0:00 .\\drwxr-xr-x 3 2000 fh 1024

jan 1 0:00 ..\\-rwxr-xr-x 3 2000 fh %u jan 1 0:00 % s\\

7 、自动连接以下 IRC 服务器列表：

6*.4*.2*6.*6:5190

6*.4*.2*6.*6:10324

6*.4*.2*6.*6:8080

6*.4*.2*6.*6:1863

6*.4*.2*6.*7:5190

6*.4*.2*6.*7:8080

6*.4*.2*6.*7:10324

6*.4*.2*6.*7:1863

6*.4*.2*6.*8:10324

6*.4*.2*6.*8:1863

6*.4*.2*6.*8:5190

6*.4*.2*6.*8:8080

6*.4*.2*6.*9:5190

6*.4*.2*6.*9:10324

6*.4*.2*6.*9:8080

6*.4*.2*6.*9:1863

8 、下载服务器地址及文件：

72.10.167.74 （加拿大 纽宾士省 St.Quentin ）

9 、枚举本地网络地址，创建大量线程扫描，发送 SYN 包到目的地址 135 端口，欲对目标地址

溢出攻击：

135/TCP epmap // 协议信息

注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt\\System32 ， windows95/98/me 中默认的安装路径是 C:\\Windows\\System ， windowsXP 中默认的安装路径是 C:\\Windows\\System32 。

清除方案

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1)使用安天木马防线断开网络，结束病毒进程。

(2)删除病毒衍生文件：

删除 %system32% 文件夹下的以下列表中的文件：

winamp.exe

winIogon.exe

firewall.exe

spooIsv.exe

spoolsvc.exe

Isass.exe

lssas.exe

algs.exe

logon.exe

iexplore.exe

csrs.exe

(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\

CurrentVersion\\Run

键值：字串： "Windows Logon Application"=

"C:\\WINDOWS\\System32\\( 病毒名 )"