病毒名称:
Worm.Raleka.a.enc
类别： 蠕虫病毒
病毒资料：
破坏方法：
通过微软RPC DCOM漏洞传播的蠕虫病毒采用LCC编写，UPX压缩，是一个通过微软操作系统的RPC DCOM漏洞传播的IRC蠕虫.
病毒一旦执行，首先将到下列链接地址下载如下两个文件到系统目录：
http://www.***.es/~900k/ntrootkit.exe
http://www.***.es/~900k/ntrootkit.reg
病毒使用自己的引擎连接到IRC服务器：
IRC.IRCSOULZ.NET:6667并加入一个channel，等待指令。
病毒使用随机的IP地址<135端口>扫描来扫描未打微软补丁的机器，如果发现则发送特殊的数据包导致远程机器的RPC服务崩溃，导致运行病毒设计的代码,而这段代码就是打开并监听TCP端口，同时返回一个隐藏的cmd shell，这样，病毒就可以控制远程的机器；
当病毒侵入一台机器后，病毒将试图替代系统目录下的svchost.exe，并命令其从攻击主机下载上述两个NTROOTKIT文件<黑客工具包>，被侵入机器的IP地址将保存在系统目录下的文件：
"RPCss.INI"中可能导致系统异常导致212.59.199.*和***.IRCSOULZ.NET网络交通堵塞
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
WINDOWS下的PE病毒。
发现日期：
2003-9-1
|
