該病毒運行後，連線網路下載病毒體到本機運行。添加註冊表自動運行項以隨系統引導病毒體。病毒運行後監聽網路，等待接收指令。受感染用戶可能會被利用進行各種惡操作。
基本介紹
- 中文名：後門病毒
- 外文名：Backdoor.Win32.Robobot.as
- 病毒類型：後門類
- 公開範圍：完全公開
- 危害等級：4
- 檔案長度：脫殼前 29,184 位元組，脫殼後88,576 位元組
- 感染系統：windows 9X以上版本
- 開發工具： Microsoft Visual C++ 7.0
- 檔案 MD5： 336E561DCDC23C4BD447394AB4DFC71D
- 加殼工具： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
行為分析,清除方案,
行為分析
1 、 衍生病毒檔案：
%WinDir%\system\smss.exe
%Documents and Settings%\ 當前用戶名
\Local Settings\Temp\2exinjs.aa.exe
2 、 新建下列冊表鍵值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run\.nvsvc
Value: String: "%WinDir\system\smss.exe /w"
3 、 連線下列地址下載病毒體：
（66.197.23*.3*） /up/injs.aa.exe
4、 連線的 IRC 伺服器地址：
numegaserver （66.7.2*0.24*）
5、 連線 IRC 伺服器後的互動如下：
NICK jfac-1_9127_1268
USER jfac-1_9127_1268
"jfac-1_9127_1268"
:jfac-1_9127_1268
:numegaserver 001
jfac-1_9127_1268
:Welcome to the SOMEnet IRC Network
:numegaserver 002 jfac-1_9127_1268
:Your host is numegaserver, running version
ircd(Bahamut-1.4.35)-1.1(01)-02
:numegaserver 003 jfac-1_9127_1268
:This server was created Thu Feb 8 2007
at 15:11:12 UTC
:numegaserver 004
jfac-1_9127_1268
numegaserver ircd
(Bahamut-1.4.35)-1.1(01)-
02 oOiwscrRkKnfydaAbgheFjH
biklLmMnoprRstvc7BeEwxX
:numegaserver 005
jfac-1_9127_1268
NOQUIT WATCH=128 SAFELIST MODES=6
MAXCHANNELS=20 MAXBANS=100
NICKLEN=30 CHANNELLEN=32
TOPICLEN=307 KICKLEN=307
CHANTYPES=# PREFIX=(ov)@+
STATUSMSG=@+ NETWORK=SOMEnet
SILENCE=10 EXCEPTS
CHARSET=ascii
CHANMODES=bBeEX,k,l,7chiLmMnOprRstwx
CODEPAGES 8BNICKS=YES
MANICKS=YES MAWNICKS=YES
8BNCI=YES 8BCNCI=YES
NICKIDEN :are available
on this server
// 伺服器返回信息
:numegaserver 251 jfac-1_9127_1268
:There are 28 users and 0 invisible
on 1 servers
:numegaserver 255 jfac-1_9127_1268
:I have 28 clients and 0 servers
:numegaserver 265 jfac-1_9127_1268
:Current local users: 28 Max: 39
:numegaserver 266 jfac-1_9127_1268
:Current global users: 28 Max: 39
:numegaserver 422 jfac-1_9127_1268
:MOTD File is missing
:jfac-1_9127_1268 MODE jfac-1_9127_1268
:+i
// 下載檔案
:numegaserver 700
jfac-1_9127_1268 ISO8859-5
:is now your translation scheme
:[email protected] PRIVMSG
jfac-1_9127_1268 :exec
/injs.aa.exe?jfac-1_9127_1268
injs.aa.exe 1268
// 保持連線
PING :numegaserver
PONG :PING :numegaserver
PONG :
6、 此檔案用來監聽網路：
%Documents and Settings%\ 當前用戶名
\Local Settings\Temp\2exinjs.aa.exe
HKLM\SYSTEM\CurrentControlSet
\Services\SharedAccess\Parameters
\FirewallPolicy\StandardProfile
\AuthorizedApplications\List',鍵值:0
8 、病毒試圖關閉或停止下列安全服務：
KAVPersonal50
Wuauserv
Navaps
Symantec Core LC
SAVScan
Kavsvc
Wscsvc
註： % System% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System 資料夾的位置。 Windows2000/NT 中默認的安裝路徑是 C:\Winnt\System32 ， windows95/98/me 中默認的安裝路徑是 C:\Windows\System ， windowsXP 中默認的安裝路徑是 C:\Windows\System32 。
清除方案
1 、 使用安天木馬防線可徹底清除此病毒 ( 推薦 )
2 、 手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線斷開網路，結束病毒進程：
%WinDir%\system\smss.exe
%Documents and Settings%\ 當前用戶名
\Local Settings\Temp\2exinjs.aa.exe
(2) 刪除並恢復病毒添加與修改的註冊表鍵值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run\.nvsvc
Value: String: "%WinDir\system
\smss.exe /w"
(3)恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
鍵值 : 字串: " QQ " = " %WINDIR%\QQ.exe "
(4) 刪除病毒釋放檔案：
%WinDir%\system\smss.exe
%Documents and Settings%\ 當前用戶名
\Local Settings\Temp\2exinjs.aa.exe
