病毒名称:
Backdoor.Rbot.ss
类别： 后门病毒
病毒资料：
破坏方法：
IRC后门程序
病毒运行后将有以下行为：
一、将自己复制到％SYSDIR％目录下，文件名为"MFCOHCAE.EXE"。
二、修改以下注册表键，以达到其自启动的目的：
1.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\Currentversion\Run
增加数据项："Microsoft WinUpdate"
数据值为：MFCOHCAE.EXE
2.HKEY_CURRENT_USER\Software\Microsoft\Windows
\Currentversion\Run
增加数据项："Microsoft WinUpdate"
数据值为：MFCOHCAE.EXE
3.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\Currentversion\RunServices
增加数据项："Microsoft WinUpdate"
数据值为：MFCOHCAE.EXE
三、试图利用病毒附带的密码字典猜测网络中其他主机的IPC密码，如果连接成功病毒将复制自己到该主机。
四、搜索以下软件的CDKey：
Neverwinter Nights
Soldier of Fortune II - Double Helix
Hidden & Dangerous 2
Red Alert
Red Alert 2
Tiberian Sun
Nascar Racing 2003
FIFA 2002
James Bond 007 Nightfire
Legends of Might and Magic
Counter-Strike
James Bond 007: Nightfire
Black and White
......
五、查看进程列表，结束以下进程：
i11r54n4.exe
irun4.exe
d3dupdate.exe
rate.exe
ssate.exe
winsys.exe
winupd.exe
SysMonXP.exe
bbeagle.exe
Penis32.exe
teekids.exe
MSBLAST.exe
mscvb32.exe
sysinfo.exe
PandaAVEngine.exe
wincfg32.exe
taskmon.exe
zonealarm.exe
navapw32.exe
navw32.exe
zapro.exe
msblast.exe
netstat.exe
msconfig.exe
regedit.exe
六、以特定昵称登录指定的IRC频道，为其控制端提供远程控制服务。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-10-28
|
