病毒简介

病毒描述

行为分析

清除方案

病毒简介

病毒名称： Backdoor.Win32.VanBot.ax

中文名称： IRC后门

病毒类型： 后门类

文件 MD5： A1053B6AFA67509CFF9F5B9AD166F316

公开范围： 完全公开

危害等级： 高

文件长度： 56,440 字节

感染系统： WinNT4以上系统

开发工具： Microsoft Visual C++ 6.0

加壳工具： 未知壳

命名参考： SOPHOS[W32/Vanebot-AW]

病毒描述

该病毒运行后，衍生病毒文件到系统目录下，添加注册表自动运行项以随机引导病毒体。创建大量线程用于扫描用户所在网络，若发现存默认共享或弱口令则传播自身。此病毒为一个利用Windows平台下IRC协议的网络蠕虫，受感染用户可能会被操纵进行Ddos攻击、远程控制、发送垃圾邮件、创建本地Tftp等恶意行为。

行为分析

1 、衍生下列副本与文件：

%System32%\\iexplorer.exe

%System32%\\jhxn.exe

2 、新建注册表键值：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Advanced

DHTML Enable

Value: String: "%WinDir%\\System32\\ jhxn.exe "//此处文件名为随机生成

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Microsoft

Internet Explorer

Value: String: "%WinDir%\\System32\\ iexplore.exe"//此处文件名可能为

Firewall.exe

3 、创建大量扫描线程用以扫描存在漏洞的本地网络。

4 、自动连接的IRC服务器：

220.198.59.***:9928

220.196.59.***:3938

67.43.236.**:2938

5 、连接IRC服务器信息如下：

USER oursxb oursxb oursxb :qdvwwaiuhmiyjygl

NICK eIBnErNT

PING :66609D09

PONG :66609D09

:@_@ 001 eIBnErNT:

MODE eIBnErNT +xi

JOIN #siwa

USERHOST eIBnErNT

:x.hub.x 332 eIBnErNT

#siwa :=xAgVMf81RvN+xBBhG+xXwttpTsaSBfWeekvMkmkVNcbo20jZvmkCo7CUU

bRsdRPzz6wiS1OY8pcXg3d9ucVufq2bgQ1mvh+9OBJDwIuw1kOamPaw+2jw/CTaWV

QRjrX8Xl2Iph

6 、病毒体下载的地址：

Host: 220.196.59.***/packed_7711.exe

7 、创建自删除批处理文件删除自身。

8 、病毒可利用以下漏洞传播自身：

LSASS (MS04-011)，

SRVSVC (MS06-040)，

RPC-DCOM (MS04-012)，

PNP (MS05-039)，

网络共享及弱口令

注：%System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的

安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

清除方案

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1)使用安天木马防线结束病毒进程， 病毒常生产的进程名为下列两个：

iexplorer.exe

Firewall.exe

(2)恢复病毒修改的注册表项目，删除病毒添加的注册表项：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\

CurrentVersion\\Run\\Advanced DHTML Enable

Value: String: "%WinDir%\\System32\\ jhxn.exe "

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\

CurrentVersion\\Run\\Microsoft Internet Explorer

Value: String: "%WinDir%\\System32\\ iexplore.exe "

(3) 删除病毒释放文件：

%System32%\\iexplorer.exe

%System32%\\ jhxn.exe

(4) 使用木马防线的补丁功能打全补丁。