Win32.Hack.Rbot
病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
黑客程序
病毒长度:
180736
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个后门病毒，黑客能通过IRC命令控制受该病毒的机器。
1：拷贝文件
病毒被运行后，会把自己拷贝到下面的地址
C:\Windows\system32\javanet.exe
并且加上只读,隐藏,系统三个文件属性。
2：更改注册表
病毒会更改以下三处注册表的值：
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon
Userinit->"C:\WINDOWS\system32\userinit.exe,javanet.exe"
HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon
Shell->"Explorer.exejavanet.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
MSJavaforWindowsXP&NT->"javanet.exe"
3：连接远程机器
病毒会以SYN_SEND的方式连接IP地址为195.205.20.***的远程主机
连接端口号为4915，一但连接成功，客户端就会对远程主机发来的指令
进行控制的行为，指令包括：
SYN
UDP
SCAN
HTTPDoS
Download
Update
KEYLOG
CMD
IMSPREAD
MASSCAN
THREADS
SOCKS4
VISIT
