一个基于IRC的后门病毒.
病毒行为:
病毒运行后将自己复制到％system％目录下,文件名为:appNv.exe并在注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run
和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\RunServices中
加入自己的键值 "nvappw" =％system％\appnv.exe以达到随系统启动的目的。
随后病毒在一个随机的端口上建立一个FTP服务进线程.并以随机的昵称登录上一个特定的IRC频道.以便病毒作者进行控制。
IRC后门:
病毒作者可以通过IRC对中了病毒的系统进行控制,这时被控系统成为一个攻击平台.
操作者可以进行以下操作：
1.文件上传下载
2.对局域网附近的系统进行ms04011漏洞扫描.
3.对局域网附近的系统进行传播.
病毒通过对目标系统进行ipc$空密码联接,一旦成功病毒将自己复制到下以目录。
"目标系统"\C$\windows\system32
"目标系统"\C$\Documents and Settings\All Users\Documents\％s
"目标系统"\C$\shared\％s
"目标系统"\\IPC$\％s
"目标系统"\C$\winnt\system32\％s
"目标系统"\ADMIN$\system32\％s
并以调度任务方式在远程系统上启动.
等等..
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2005-1-12
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
