IRCBot DCS515610.zip win442.dll，病毒名稱：Backdoor.Win32.IRCBot.bam [exe]（Kaspersky）,
基本介紹
- 外文名：IRCBot DCS515610.zip win442.dll
- 發現時間：2007年9月
- 所屬類型：MSN病毒
IRCBot DCS515610.zip win442.dll（MSN病毒）分析
Backdoor.Win32.IRCBot.agd [dll]（Kaspersky）
病毒別名：W32/Sdbot.worm [exe]（McAfee）
Worm.Win32.MSNPhoto.d [dll]（瑞星）
Win32.Hack.SdBot.55808 [exe]（毒霸）, Win32.Troj.MsnBotT.c.26000 [dll]（毒霸）
病毒大小：68,096 位元組
加殼方式：nPack
樣本MD5：56fd0c4491c06ed78e392515833c91d5
樣本SHA1：d63512173c373a1d44cdad40c765fb16235ef5de
更新時間：2007.9
關聯病毒：
傳播方式：通過MSN傳播 字串1
技術分析
==========
字串1
MSN蠕蟲病毒變種，根據系統語言向MSN聯繫人傳送誘惑文字訊息.和帶毒壓縮檔，當聯繫人接收並打開壓縮檔中的病毒檔案時系統受到感染。
字串1
病毒運行後在系統目錄生成包含自身的帶毒ZIP壓縮檔：
%Windows%\DCS515610.zip
其中包含病毒檔案名稱為：DCS515610.scr 字串4
釋放dll注入進程：
%System%\win442.dll
字串4
創建ShellServiceObjectDelayLoad啟動方式：
字串9
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"w32s"="" 字串4
[HKEY_CLASSES_ROOT\CLSID\\InProcServer32]
@="win442.dll"
註：為一串CLSID，病毒生成的CLSID不固定，如： 字串2
根據染毒系統的語言向MSN聯繫人傳送相應文字訊息，同時傳送.帶毒壓縮檔DCS515610.zip：
字串6
QUOTE:
Qu?usted piensa de este cuadro?
Consegu?a nuevo cuadro de m?la toma una mirada
algunos cuadros de la semana pasada, consideran si usted tiene gusto
en ellos.
tiene usted visto este picure todav千?
Haha, es que usted?
Debo utilizar este cuadro en msn?
Qu?usted piensa en esto?
Was denken Sie an diese? 字串1
was denken Sie an dieses picure?
ich glaube, da?ich h溥lich schaue :/
sind hier eine neue Abbildung von mir
einige Abbildungen von der letzten
Woche, sehen, wenn
Sie sie m鰃en
Haha, diese sind
Sie auf dieser Abbildung?
sollte ich diese Abbildung auf msn benutzen?
Was denken Sie an dieses?
Wat denkt u aan dit picure?
字串2
ik vind ik lelijk kijk
Een paar beelden van vorige week, zien of houdt u hier van em nieuwe
pic van me. :)
Hebt u dit picure nog gezien?:p
Hebt u dit picure nog gezien? :p
Haha, bent u dat op dat beeld? :)
Zou ik dit beeld op msn moeten gebruiken?
Wat denkt u over dit?
que pensez-vous ?ce picure ?
je me sens que je semble laid :/
字串8
Voici un nouveau pic de moi
Quelques images de la semaine derni鑢e, voient si vous les aimez
Avez-vous vu ce picure encore ?
Haha, est-vous ce sur cette image ?
Si j'emploient cette image sur le msn ?
Que pensez-vous ?mon image ?
What do you think of this picure? i feel i look ugly :'(
Here's a new pic of me
A few pictures from last week, see if you like em
lool, i just shaved my head, see! :D
字串7
ahha, i shaved my friends cat, see :D
Should i use this picture on msn?
What do you think about this?
嘗試連線遠程IRC：secure.bindshell.info
字串1
清除步驟
字串4
1. 刪除病毒創建的ShellServiceObjectDelayLoad啟動方式： 字串3
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"w32s"=""
字串7
[HKEY_CLASSES_ROOT\CLSID\\InProcServer32]
@="win442.dll"
2. 重新啟動計算機
字串4
3. 刪除病毒檔案：
%Windows%\DCS515610.zip
%System%\win442.dll
%UserProfile%\new.txt（可能存在）
