请输入您要查询的百科知识:

 

词条 IRCBot images.zip winlog32.exe
释义

通过MSN传播的IRCBot images.zip winlog32.exe 解决方案

病毒名称:IM-Worm.Win32.Agent.f(Kaspersky)

病毒别名:Backdoor.Win32.Jusi.ab(瑞星)

病毒大小:40,960 字节

加壳方式:

样本MD5:fc5415dc9054ee0934e3ff3e587de444

样本SHA1:c48246a83290fa05ae8362c1d30c0dff98281cf4

发现时间:2007.7

更新时间:2007.7

关联病毒:

传播方式:通过MSN传播 字串7

技术分析

==========

字串5

这个MSN病毒变种在生成的文件和启动项形式上和以往不同,没有释放dll。病毒被运行后在系统目录生成包含自身副本的ZIP压缩文件:

%Windows%\\images.zip

压缩包内文件名是IMG+数字,扩展名是.pif,比如IMG34814.pif。 字串2

同时创建一个副本:

%Windows%\\winlog32.exe 字串5

创建启动项: 字串9

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"MSN"="winlog32.exe"

试图使用c:\\a.bat批处理停止“安全中心”和“WinVNC”服务:

字串4

[Copy to clipboard] [ - ]CODE:

@echo off

net stop "Security Center"

net stop winvnc4

del c:\\a.bat

向MSN联系人发送消息和伪装成照片的带毒压缩包%Windows%\\images.zip:

字串4

QUOTE:

LOL, you look so ugly in this picture, no joke...

Should I put this on facebook/myspace?

Hey m8, who is this on the right, in this picture...

Sup, seen the pictures from the other night?

当对方联系人接收并打开压缩包中的病毒文件时系统受感染。

字串3

尝试连接远程IRC接收远程攻击者指令:down.basecore.info 字串4

Mutex:ahfabbg

字串5

清除步骤

========== 字串7

1. 删除病毒的启动项: 字串1

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"MSN"="winlog32.exe"

2. 重新启动计算机

字串2

3. 删除病毒文件:

%Windows%\\images.zip

%Windows%\\winlog32.exe 字串2

随便看

 

百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。

 

Copyright © 2004-2023 Cnenc.net All Rights Reserved
更新时间:2024/12/23 15:49:40