Win32.Hack.sdbot

这是一个多功能的远程木马。它会非法获取操作权限，帮助黑客监视和控制用户系统，并下载其它木马到用户电脑中运行。

一、 将自身复制到c:\WINDOWS\systom\schrars.exe
二、 在注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasAuto添加记录，以服务的方式自启动自身，服务名为RasAuto
三、 创建脚本自删除
@echooff
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@echoasdfhdsafjkahlsdjfhlk>>3596799a1543bc9f.aqq
@del3596799a1543bc9f.aqq
@del"c:\DOCUME~1\admin\MYDOCU~1\D33D05~1.V"
@delafc9fe2f418b00a0.bat
@exit

四、 以下是远程控制模块的内容：
解密字符串guo****14.3**2.org:8003；
1. 得到控制端对应的IP地址，与其建立连接
2. 得到本地计算机的系统版本、计算机名、内存大小、病毒自身的版本，加密后发送过去
3. 接收控制端过来的消息，通过控制端的消息作出相应的操作：
a. 接收消息失败，关闭连接，等待10秒钟跳转到循环开始处
b. 接收消息字节长度小于104h时，重新接收消息
c. 消息首4字节为-14时，关闭连接，将自身移动到%system%\systom32\schrars.exe
d. 消息首4字节为-11、-12、-13时，提升自身的权限为SeShutdownPrivilege
e. 消息首4字节为0x21000000时，创建线程做以下操作：得到硬盘信息以及目录下的所有文件信息，以对文件进行打开、删除、复制、移动、创建等操作
f. 消息首4字节为0x22000001时，创建线程远程监控桌面
g. 消息首4字节为0x23000000时，创建匿名管道，读取系统目录下指定文件的内容
h. 消息首4字节为0x25000000时，得到进程信息，提权并关闭指定的进程
i. 消息首4字节为0x30000000时，根据其参数有不同的操作：
1). 给指定的IP发送40字节的消息，UDP方式，将消息的Unicode转换成ascii
2). 将GET^%$%^&**(*((&&*^&&%%^&*(*&$%$^%$#^*^%$##$.htm等类似的字符串发送到指定的IP地址，UDP方式
3). 给指定的IP发送消息，每隔0.4秒发送一次，UDP方式
4). 给指定的IP发送ssssssssssssssssssssssssssssssssssssssssssssss字符串
5). 给指定的IP发送消息，每隔0.4秒发送一次，TCP方式
6). 与指定的IP建立连接，每隔1秒检查一次标识，若接收到结束标识就断开连接
7). 与指定的IP不停的建立连接，每隔0.04秒连接一次
8). 连接指定的网页，发送GET/*(&*^TGH*JIHG^&*(&^%*(*)OK)(*&^%$EDRGF%&^.html请求
9). 连接指定的网页，发送GET^*%%RFTGYHJIRTG*(&^%DFG.asp请求
10). 连接指定的网页，发送GET...请求
11). 给指定的IP发送乱码通信
99). 设置结束标识
100).从指定的网址下载文件到c:\pagefile.pif并执行
101).运行指定的文件