|
| 警惕后门backdoor.win32.wootbot.gen |
| 来源：网络 时间：2006-5-18 |
|
来自安天实验室：
http://www.antiy.com/index.htm
病毒标签：
病毒名称： backdoor.win32.wootbot.gen
中文名称： 无
病毒类型： 后门
文件 md5： 7f28689fec0bf10058393cb7f9e75094
公开范围： 完全公开
危害等级： 中
文件长度： 98,160 字节
感染系统： windows 98及以上版本
开发工具： microsoft visual c++ 6.0
加壳类型： fsg
命名对照： symentec[无]
mcafee[无]
病毒描述：
该病毒属后门类，主要通过网络共享传播，病毒运行后复制自身到%system%\iexplore.exe，而后修改注册表文件，注册为服务，为了达到欺骗用户的目的，其服务名为：alerter service，病毒运行后还会尝试停止某些服务。病毒开启本地端口后自动连接到某irc信道，等待并接受恶意者的连接控制，窃取游戏的cd-key。该病毒对用户有一定的危害。
行为分析：
1、病毒运行后复制自身到：%system%\iexplore.exe
2、修改注册表，添加服务，达到随系统启动的目的
服务名称：alerter service
文件路径："%system%\iexplore.exe" -netsvcs
3、病毒运行后尝试停止某些服务，如：
wuauserv
wzcsvc
winmgmt
webclient
w32time
upnphost
uploadmgr
trkwks
termservice
tapisrv
stisvc
ssdpsrv
4、病毒通过网络共享及弱口令mysql进行传播。
5、尝试连接以下地址，等待并接受恶意者的控制，恶意者可以对感染主机执行任意操作。
66.7.174.***
216.221.188.***
注：% system%是一个可变路径。病毒通过查询操作系统来决定当前system文件夹的位置。windows2000/nt中默认的安装路径是c:\winnt\system32，windows95/98/me中默认的安装路径是c:\windows\system，windowsxp中默认的安装路径是c:\windows\system32。
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%system%\iexplore.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
hkey_local_methine\system\currentcontrolset
\services\alerters
附：
安天木马防线2005+试用版下载地址:
http://www.antiy.com/product/ghostbusters/index.htm
病毒上报信箱: submit@virusview.net
|
|
|
|
|
