病毒名称:
Worm.Agobot.r
类别： 蠕虫病毒
病毒资料：
破坏方法：
利用微软漏洞和弱口令猜测传播的蠕虫病毒采用MS VC++6.0编写，UPX压缩，是通过网络共享弱口令猜测和微软漏洞传播的蠕虫病毒利用的漏洞有：
1. RPC DCOM漏洞, 端口：135
2. RPC locator漏洞 端口：445
病毒一旦执行，将执行下列操作：
1.复制自身到如下目录：
％SYSDIR％\SVCHOS1.EXE
％SYSDIR％\RPCFIX.EXE
并修改注册表以使自己随系统启动启动
2.病毒打开一个随机的端口连接到其master
3.自动连接到一个预定义的IRC服务器的一个channel，使用这个channel监听来自其master的指令，其指令可能为：
Manage the installation of the worm
Dynamically update the installed worm
Download and execute files
Steal the compromised system's information
Send the worm to other IRC users
Add accounts for the hacker
4.打开并监听22227端口，用来给其它机器提供病毒体下载；
5.探测RPC DCOM和RPC locator漏洞
6.使用下列用户/密码组合来猜测共享：
54321
654321
123456789
12345678
1234567
123456
12345
1234
PassWord
password
Admin
qwer
asdf
temp
test
home
Dell
Inviter
...
...
...
...
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\Run
"MS Config Loader" = SVCHOSl.EXE
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows
\CurrentVersion\RunServices
"MS Config Loader" = SVCHOSl.EXE
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2003-9-3
|
