Backdoor.Win32.Rbot.gen是一種由 Microsoft Visual C++ 6.0開發的後門類病毒，中文名 Rbot，中等危害等級，感染Win9X以上系統。
基本介紹
- 中文名：Backdoor.Win32.Rbot.gen
- 別名：Rbot
- 公開範圍：完全公開
- 檔案長度：171,520位元組
- 感染系統：Win9X以上系統
- 病毒類型：後門類
- 檔案 MD5：0A88A587E4312932A7905B1A1F0CC233
- 危害等級：中等
- 開發工具：Microsoft Visual C++ 6.0
- 命名對照： 驅逐艦[Win32.HLLW.MyBot.based] Ewido[Backdoor.Rbot]
病毒描述,行為分析,清除方案,
病毒描述
該病毒運行後，釋放病毒檔案到系統目錄下。添加註冊表啟動項，以達到開機載入病毒體的目的。該病毒通過系統漏洞傳播，當系統重啟後運行病毒體，連線特定的IRC伺服器，按病毒管理員指令，行合各種惡性功能。
行為分析
1、釋放下列副本與檔案
%System32%\ lserv.exe 病毒副本
2、新建註冊表鍵值：
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunService\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices\Microsoft Office
鍵值: 字元串: "lserv.exe"
3、連線下列IRC地址：
TCP 本機IP: 1113 ***.**.39.8 : 8585
4、可以執行下列惡性行為：
掃描IP段，以進行傳播，IP段自動生成
建立FTP、TFTP伺服器,傳送檔案
打開連線埠
打開與建立檔案
DDOS攻擊
Psniff
打開與停止服務
指定下載
泄露用戶共享信息[net]: share list
5、記錄受控端信息
account: %s
full name: %s
user comment: %s
comment: %s
unknown
administrator
user
guest
privilege level: %s
auth flags: %d
home directory: %s
parameters: %s
password age: %d
bad password count: %d
number of logins: %d
last logon: %d
last logoff: %d
logon server: %s
workstations: %s
country code: %d
user's language: %d
max. storage: %d
units per week: %d
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
lserv.exe
(2) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunService\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices\Microsoft Office
鍵值: 字元串: "lserv.exe"
