通过MSN传播的IRCBot X_0005_jpg.zip mono.exe 解决方案

病毒名称：Backdoor.Win32.SdBot.bzf（Kaspersky）

病毒别名：Backdoor.Win32.SdBot.orv（瑞星）

Win32.Hack.SdBot.388096（毒霸）

病毒大小：388,096 字节

加壳方式：

样本MD5：283ae3d75b6fa817652f6e58d2ee9d84

样本SHA1：de770698c8ce7160f1373185cdbb0ace9675d0b2

发现时间：2007.9

更新时间：2007.9

关联病毒：

传播方式：通过MSN传播

字串4

技术分析：

字串3

MSN蠕虫变种，根据系统语言向MSN联系人发送诱惑文字消息和带毒压缩包，当联系人接收并打开带毒压缩包中的病毒文件时系统受到感染。 字串2

病毒运行后在系统目录生成包含自身的带毒ZIP压缩包：

%Windows%\\X_0005_jpg.zip

其中包含病毒文件名为：www.X_0005_jpg-msn.com

字串9

创建副本：

%Windows%\\mono.exe

字串9

创建启动项：

字串9

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"mono.exe"="%Windows%\\mono.exe"

修改注册表关闭系统文件保护：

字串3

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows

NT\\CurrentVersion\\Winlogon]

"SFCDisable"=dword:ffffff9d

"SFCScan"=dword:00000000

更改自动关闭进程等待时间：

字串5

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control]

"WaitToKillServiceTimeout"="7000"

破坏FTP程序文件：

%System%\\tftp.exe

%System%\\dllcache\\tftp.exe

%System%\\ftp.exe

%System%\\dllcache\\ftp.exe

原正常程序复制到：

%System%\\microsoft\\backup.tftp

%System%\\microsoft\\backup.ftp 字串9

根据染毒系统语言向MSN联系人发送相应诱惑文字消息，同时发送带毒压缩包X_0005_jpg.zip诱使联系人接收打开：

字串6

QUOTE:

dessa 鋜 egentligen trevliga: P

gyckel m錽te se dig detta fotografera

du fick se detta dess galet :p

estes s鉶 realmente agrad醰eis :P

wow voc?viu este?

como voc?gosta de me nesta foto

voc?come鏾u ver este seu assim engra鏰do

Bu resimler nasil sence bir bakarmisin :)

su komik resimlerime baksana :D

字串1

bak :P

Kiz kardesim bunlari sana yollamami s鰕ledi ;)

bu resimler space i鏸n nasil

Space ime bun resimleri eklesem sence nasil olur

avete ottenuto vedere questo relativo cos?divertente

come lo pensate osservi qui sguardo di

lol a questo controllo di distorsione di

velocit?questo fuori

el lol mi hermana quisiera que le enviara este 醠bum de foto

vengo de fi este foto 醠bum 字串4

ey i que hace el 醠bum de foto!

Si vea el loL del em

l tipo, me acepta por favor su solamente 醠bum de foto: (!

lol meine Schwester w黱scht mich Ihnen dieses Fotoalbum schicken

Geck, nehmen bitte sein nur mich Fotoalbum an: (!

he m鯿hten mein neues Fotoalbum sehen?

hoe vind je dit er uit zien ?

hoe vind je dit ?

echt erg kijk dan

zo hee moet je dit zien echt niet normaal

字串2

zo moet je me hier op zien lol

lol he hoe vind je me hier op

eeeh c mes tof :p

c seulement mes tof de derniers vacances

tu dois voire les tof de notre bande

comment est-ce que je regarde sur cette photo ? le lol ceci est dr鬺e

ma soeur a voulu que tu regarde ca

d闲aut de la reproduction sonore avez-vous vu ceci ?

looooook :p

loooooooooooool :D

字串3

lol he looks weird on this photo

omg check this out man this is funny

lol you got to see this :P

尝试连接远程IRC：fu.9689635.com 字串8

清除步骤

========== 字串3

1. 删除病毒创建的启动项：

字串3

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]

"mono.exe"="%Windows%\\mono.exe"

2. 重新启动计算机

字串8

3. 删除病毒文件：

%Windows%\\X_0005_jpg.zip

%Windows%\\mono.exe 字串4

4. 恢复被破坏的FTP程序文件，删除：

%System%\\tftp.exe

%System%\\dllcache\\tftp.exe

%System%\\ftp.exe

%System%\\dllcache\\ftp.exe

字串1

然后将%System%\\microsoft\\backup.tftp复制到：

%System%\\tftp.exe

%System%\\dllcache\\tftp.exe 字串5

将%System%\\microsoft\\backup.ftp复制到：

%System%\\ftp.exe

%System%\\dllcache\\ftp.exe 字串6

5. 修改注册表恢复系统文件保护： 字串7

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows

NT\\CurrentVersion\\Winlogon]

"SFCDisable"=dword:00000000

"SFCScan"键值可以删除。

字串9

6. 恢复系统自动关闭进程等待时间：

字串8

[Copy to clipboard] [ - ]CODE:

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control]

"WaitToKillServiceTimeout"="20000"

字串7