Worm.Zotob.D
病毒名称(中文):
狙击波变种D
病毒别名:
威胁级别:
★★★☆☆
病毒类型:
蠕虫病毒
病毒长度:
51326
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个蠕虫病毒,该病毒会开启后门并且利用PlugandPlay(MS05-039漏洞)对TCP445端口进行缓冲区溢出攻击.感染该病毒的机器会接收远程控制命令,并且会修改起始及删除用户机器上的狙击波和狙击波变种B,逃避杀毒软件,使用户更难发现该病毒.
1.建立互斥变量"windrg322",使病毒只有一个在运行.
2.把病毒本身拷贝到:
%System%\wbev\windrg32.exe
3.添加起始项,使病毒开机运行:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
WinDrg32
"%System%\wbev\windrg32.exe"
4.尝试链接以下网络来判定机器的网络是否连通和路由能力;
www.google.com
www.ebay.com
www.yahoo.com
5.尝试通过TCP6667端口开启后门,和以下的IRC服务器建立链接:
xaeti.m00p.org
db23a.hack-syndicate.org
spookystreet.m00p.org
spookystreet.udp-flood.com
6.感染该病毒的机器会接收远程控制者的控制命令进行以下活动:
下载和运行文件;
结束进程;
使用数据字典尝试攻击用户密码;
向www.google.com发送链接请求;
7.在TCP1117端口开启FTP服务;
8.尝试结束以下进程:
pnpsrv.exe
winpnp.exe
csm.exe
botzor.exe
CxtPls.exe
NHUpdater.exe
ViewMgr.exe
realsched.exe
qttask.exe
CMESys.exe
EbatesMoeMoneyMaker*.exe
9.删除注册表键值:
删除以下键中的
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\RunOnce
以下键值
"WindowsPNPServer"
"WindowsPNP"
"csmWinUpdates"
"MyWebSearch"
"WINDOWSSYSTEM"
"Zotob"
"MyWay"
"WeatherOnTray"
"Apropos"
"IBISTB"
"TBPS"
"Toolbar"
"Hotbar"
"CMESys"
"NavExcel"
"ViewMgr"
"eZula"
"EbatesMoeMoneyMaker"
"Ebates"
"AutoUpdater"
"Gator"
"Trickler"
"QuickTime"
"GatorDownloader"
"eZmmod"
"Viewpoint"
"TkBellExe"
"180"
"WinTools"
"Real"
"QuickTimeTask"
"sais"
"msbb"
"saie"
"180ax"
"lgbibsn"
"tov"
10.查找并且删除以下文件夹或者文件:
%SYSTEM%\pnpsrv.exe
%SYSTEM%\winpnp.exe
%SYSTEM%\csm.exe
%SYSTEM%\botzor.exe
%PROGRAMFILES%\MyWebSearch
%PROGRAMFILES%\MyWebSearch\*.exe
%PROGRAMFILES%\Hotbar
%PROGRAMFILES%\Hotbar\*.exe
%PROGRAMFILES%\MyWay
%PROGRAMFILES%\MyWay\*.exe
%PROGRAMFILES%\180Solutions
%PROGRAMFILES%\180Solutions\*.exe
%PROGRAMFILES%\CommonFiles\WinTools
%PROGRAMFILES%\CommonFiles\WinTools\*.exe
%PROGRAMFILES%\Toolbar
%PROGRAMFILES%\Toolbar\*.exe
%PROGRAMFILES%\CxtPls
%PROGRAMFILES%\NavExcel
%PROGRAMFILES%\AutoUpdate
%PROGRAMFILES%\AutoUpdate\AutoUpdate.exe
%PROGRAMFILES%\EbatesMoeMoneyMaker
%PROGRAMFILES%\eZula
%PROGRAMFILES%\eZula\mmod.exe
%PROGRAMFILES%\CommonFiles\GMT
%PROGRAMFILES%\CommonFiles\GMT\GMT.exe
%PROGRAMFILES%\CommonFiles\CMEII
11.产生随机IP地址,并且尝试利用PlugandPlay(MS05-039漏洞)对TCP445
端口进行缓冲区溢出攻击.
12.在目标机器上尝试建立一个下载蠕虫地址的FTP脚本文件,下载的蠕虫病
毒文件名为[NUMBER].exe,并且会运行该病毒,该病毒会记录下已经成功进
行溢出机器IP地址,并且把该地址加到IRC聊天室频道中.
