MSN圣诞照片(Backdoor.Win32.PBot.a)病毒分析解决

所属分类: 实用技巧 / 病毒查杀 阅读数: 265
收藏 0 赞 0 分享
文件名称:devic.exe

文件大小:23304 bytes

AV命名:(virustotal上仅卡吧一家报)Backdoor.Win32.SdBot.cok

加壳方式:未知

编写语言:VC

病毒类型:IRCbot

文件MD5:45de608d74ee4fb86b20da86dcbeb55c

行为分析:

1、释放病毒副本:

C:\WINDOWS\devic.exe , 23304 字节
C:\WINDOWS\img5-2007.zip , 23456 字节

2、添加注册表,开机启动:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


(注册表值) SystemDevic = "devic.exe"

3、每隔5秒试探网络并连接韩国IRC服务器:irc.pNet.com,以随机命名和空密码用户登入。

4、可能会接受以下命令:

pB.Main ->
pB.irc ->
pB.Thread ->
pB.wget ->
pB.update ->
pB.Spam-MSN ->
pB.Botkiller ->
pB.pStore ->
pB.Visit ->
pB.DDos ->

5、往MSN好友发送病毒压缩包和以下随机一条:

Qu?usted piensa de este cuadro?
Consegu?a nuevo cuadro de m?la toma una mirada
algunos cuadros de la semana pasada, consideran si usted tiene gusto en ellos.
tiene usted visto este picure todav
Haha, es que usted?
Debo utilizar este cuadro en msn?
Qu?usted piensa en esto?
Was denken Sie an diese?
was denken Sie an dieses picure? ich glaube, da?ich h
lich schaue :/
sind hier eine neue Abbildung von mir
einige Abbildungen von der letzten Woche, sehen, wenn Sie sie m
Haha, diese sind Sie auf dieser Abbildung?
sollte ich diese Abbildung auf msn benutzen?
Was denken Sie an dieses?
Wat denkt u aan dit picure? ik vind ik lelijk kijk
Een paar beelden van vorige week, zien of houdt u hier van em nieuwe pic van me. :) 
Hebt u dit picure nog gezien?:p
Hebt u dit picure nog gezien? :p
Haha, bent u dat op dat beeld? :)
Zou ik dit beeld op msn moeten gebruiken?
Wat denkt u over dit?
que pensez-vous ?ce picure ? je me sens que je semble laid :/
Voici un nouveau pic de moi
Quelques images de la semaine derni
e, voient si vous les aimez
Avez-vous vu ce picure encore ?
Haha, est-vous ce sur cette image ?
Si j'emploient cette image sur le msn ?
Que pensez-vous ?mon image ?
:(:(:(:(
Here's a new pic of me
A few pictures from last week, see if you like em
:D:D:D::D
Have you seen this picure yet?
Haha, is that you on that picture?
Should i use this picture on msn?
What do you think about this?

另外那个img5-2007.zip,里面的病毒可能命名为:

www.photo5-2007-12.JPEG.com
img3-2007-12.JPEG.com
img2-2007-12.JPEG_www.images.com
img-2007-12.JPEG.scr

都是可执行程序,呵呵。

解决方法:

1、开始-运行-regedit。

2、展开到:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除这个项:SystemDevic。

3、重启电脑。

4、删除硬盘文件:

C:\WINDOWS\devic.exe

C:\WINDOWS\img5-2007.zip

另外有其他MSN蠕虫变种,上述方法无法清除的
更多精彩内容其他人还在看

sola 病毒使文件变成exe后的手工杀毒及修复方法

电脑被一个名为sola的病毒感染,造成很多word文档(doc)、图片(jpg)都变成了exe文件,而且无法打开。
收藏 0 赞 0 分享

手动清除磁碟机病毒木马维护系统安全的具体步骤

磁碟机病毒木马运行后关闭并阻止360安全卫士和卡巴、瑞星、金山、江民等安全类软件的运行,除此之外还会删除系统中含有“360”字样的文件
收藏 0 赞 0 分享

Rootkit病毒的解决办法

今天小编就为大家分享一篇关于Rootkit病毒的解决办法,小编觉得内容挺不错的,现在分享给大家,具有很好的参考价值,需要的朋友一起跟随小编来看看吧
收藏 0 赞 0 分享

lssass.exe查杀及图文分析

lssass.exe查杀及图文分析
收藏 0 赞 0 分享

“禽兽”病毒(杀软终结者)的分析和手动解决方法图文第1/2页

“禽兽”病毒(杀软终结者)的分析和手动解决方法图文
收藏 0 赞 0 分享

winfoams.dll,auto.exe,450381EC.EXE病毒的手动清除方法

winfoams.dll,auto.exe,450381EC.EXE病毒的手动清除方法
收藏 0 赞 0 分享

详解runassrv.exe是什么文件与到底应不应该删除

详解runassrv.exe是什么文件与到底应不应该删除
收藏 0 赞 0 分享

利用tasklist与taskkill实现AV终结者新变种(随机7位字母病毒)的删除方法 原创第1/2页

利用tasklist与taskkill实现AV终结者新变种(随机7位字母病毒)的删除方法 原创
收藏 0 赞 0 分享

最新收集的卡巴更新服务器列表(含IP地址)

最新收集的卡巴更新服务器列表(含IP地址)
收藏 0 赞 0 分享

发现SoundMan.exe病毒附删除方法

发现SoundMan.exe病毒附删除方法
收藏 0 赞 0 分享
查看更多