BackDoor.RBot.aaa
2017-11-30 來源：
病毒名稱:
BackDoor.RBot.aaa
類別：后門病毒
病毒資料：
破壞方法：
RBot變種。
集黑客，蠕蟲，后門功能于一體。通過局域網(wǎng)共享目錄和利用系統(tǒng)漏洞進(jìn)行傳播。
體內(nèi)帶有弱口令字典，用戶如不注意設(shè)定密碼則系統(tǒng)很容易被攻破。
寫了注冊(cè)表啟動(dòng)項(xiàng)，每次開機(jī)病毒都能啟動(dòng)。
運(yùn)行后連接特定IRC服務(wù)器的特定頻道，接受黑客控制，發(fā)送本地信息。
接收黑客發(fā)來的命令在本地執(zhí)行。并將執(zhí)行結(jié)果發(fā)回IRC聊天頻道。
病毒會(huì)掃描網(wǎng)段內(nèi)的機(jī)器并猜測(cè)共享密碼，會(huì)占用大量網(wǎng)絡(luò)帶寬資源，容易造成局域網(wǎng)阻塞。
一、IRC（Internet Relay Chat）連接。
試圖通過"***ccc.oxyww.com" 的TCP 34601 端口建立通訊。
二、文件和注冊(cè)表
1. 復(fù)制自己到系統(tǒng)目錄，命名為“system.exe”。
2. 在下列鍵添加啟動(dòng)項(xiàng)“Login”使病毒隨Windows的啟動(dòng)而自動(dòng)運(yùn)行。每隔一分鐘進(jìn)行一次修改。
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run
HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\RunServices
3. 修改系統(tǒng)設(shè)置。每隔兩分鐘進(jìn)行一次修改。
HKEY_LOCAL_MACHINE\Software\Microsoft
\OLE\EnableDCOM = N
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Control\Lsa\restrictanonymous = 0x1
三、監(jiān)聽本地113端口，建立通訊后，接收遠(yuǎn)程控制命令�？梢赃M(jìn)行下列控制操作。
1. 偷用戶正版游戲的序列號(hào)。
Command & Conquer Generals 、
FIFA 2003 、NFSHP2 、
SOF2 、
Soldier of Fortune II - Double Helix
Battlefield 1942
Project IGI 2 、
Unreal Tournament 2003
Half-Life
2. 猜測(cè)局域網(wǎng)內(nèi)其他機(jī)器的ipc連接密碼。一旦成功連接，把病毒復(fù)制過去，并運(yùn)行起來，進(jìn)行新的破壞。病毒帶有一個(gè)密碼字典，包含一百多個(gè)數(shù)字、字母、詞匯的簡(jiǎn)單組合。
3. 記錄鍵盤輸入。通過這種方式可以獲得用戶的各種密碼（Windows登陸、郵箱、論壇、游戲、網(wǎng)絡(luò)支付等等）。
4. 發(fā)動(dòng)SYN 攻擊，造成指定機(jī)器拒絕服務(wù)。
5. 下載文件并運(yùn)行。往往用作傳遞新的遠(yuǎn)程控制程序，進(jìn)行直接控制。
6. 終止系統(tǒng)的進(jìn)程和線程。
四、病毒頻繁的掃描內(nèi)存進(jìn)程，終止并禁止反病毒軟件的運(yùn)行。
五、病毒可以建立一個(gè)HTTP、FTP服務(wù)器，進(jìn)行文件上傳、下載和運(yùn)行操作。
六、病毒使用的字典如下，建議用戶一定使用復(fù)雜的密碼。
1234567890
123456789
12345678
1234567
123456
12345
pass1234
passwd
passWord
password1
Oracle
database
default
guest
wwwadmin
teacher
student
......
病毒的清除法： 使用光華反病毒軟件，徹底刪除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
發(fā)現(xiàn)日期： 2004-12-6
RBot變種。
集黑客，蠕蟲，后門功能于一體。通過局域網(wǎng)共享目錄和利用系統(tǒng)漏洞進(jìn)行傳播。
體內(nèi)帶有弱口令字典，用戶如不注意設(shè)定密碼則系統(tǒng)很容易被攻破。
寫了注冊(cè)表啟動(dòng)項(xiàng)，每次開機(jī)病毒都能啟動(dòng)。
運(yùn)行后連接特定IRC服務(wù)器的特定頻道，接受黑客控制，發(fā)送本地信息。
接收黑客發(fā)來的命令在本地執(zhí)行。并將執(zhí)行結(jié)果發(fā)回IRC聊天頻道。
病毒會(huì)掃描網(wǎng)段內(nèi)的機(jī)器并猜測(cè)共享密碼，會(huì)占用大量網(wǎng)絡(luò)帶寬資源，容易造成局域網(wǎng)阻塞。
一、IRC（Internet Relay Chat）連接。
試圖通過"***ccc.oxyww.com" 的TCP 34601 端口建立通訊。
二、文件和注冊(cè)表
1. 復(fù)制自己到系統(tǒng)目錄，命名為“system.exe”。
2. 在下列鍵添加啟動(dòng)項(xiàng)“Login”使病毒隨Windows的啟動(dòng)而自動(dòng)運(yùn)行。每隔一分鐘進(jìn)行一次修改。
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run
HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\RunServices
3. 修改系統(tǒng)設(shè)置。每隔兩分鐘進(jìn)行一次修改。
HKEY_LOCAL_MACHINE\Software\Microsoft
\OLE\EnableDCOM = N
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Control\Lsa\restrictanonymous = 0x1
三、監(jiān)聽本地113端口，建立通訊后，接收遠(yuǎn)程控制命令�？梢赃M(jìn)行下列控制操作。
1. 偷用戶正版游戲的序列號(hào)。
Command & Conquer Generals 、
FIFA 2003 、NFSHP2 、
SOF2 、
Soldier of Fortune II - Double Helix
Battlefield 1942
Project IGI 2 、
Unreal Tournament 2003
Half-Life
2. 猜測(cè)局域網(wǎng)內(nèi)其他機(jī)器的ipc連接密碼。一旦成功連接，把病毒復(fù)制過去，并運(yùn)行起來，進(jìn)行新的破壞。病毒帶有一個(gè)密碼字典，包含一百多個(gè)數(shù)字、字母、詞匯的簡(jiǎn)單組合。
3. 記錄鍵盤輸入。通過這種方式可以獲得用戶的各種密碼（Windows登陸、郵箱、論壇、游戲、網(wǎng)絡(luò)支付等等）。
4. 發(fā)動(dòng)SYN 攻擊，造成指定機(jī)器拒絕服務(wù)。
5. 下載文件并運(yùn)行。往往用作傳遞新的遠(yuǎn)程控制程序，進(jìn)行直接控制。
6. 終止系統(tǒng)的進(jìn)程和線程。
四、病毒頻繁的掃描內(nèi)存進(jìn)程，終止并禁止反病毒軟件的運(yùn)行。
五、病毒可以建立一個(gè)HTTP、FTP服務(wù)器，進(jìn)行文件上傳、下載和運(yùn)行操作。
六、病毒使用的字典如下，建議用戶一定使用復(fù)雜的密碼。
1234567890
123456789
12345678
1234567
123456
12345
pass1234
passwd
passWord
password1
Oracle
database
default
guest
wwwadmin
teacher
student
......
病毒的清除法： 使用光華反病毒軟件，徹底刪除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
發(fā)現(xiàn)日期： 2004-12-6
標(biāo)簽： ftp服務(wù)器 服務(wù)器 漏洞 網(wǎng)絡(luò) 用戶
版權(quán)申明：本站文章部分自網(wǎng)絡(luò)，如有侵權(quán)，請(qǐng)聯(lián)系：west999com@outlook.com
特別注意：本站所有轉(zhuǎn)載文章言論不代表本站觀點(diǎn)！
本站所提供的圖片等素材，版權(quán)歸原作者所有，如需使用，請(qǐng)與原作者聯(lián)系。
最新資訊
熱門推薦