Win32/IRCBot.worm.293888.B

Win32/IRCBot.worm.293888.B 是 Win32/IRCBot.worm蠕蟲的變種之一。該蠕蟲試圖利用Windows漏洞和Windows用戶帳號密碼漏洞來傳播。 運行該蠕蟲後會在Windows系統資料夾下生成 tdrdhwd.exe (293,888 bytes), 並修改註冊表當系統啟動時自動運行。 試圖連線特定IRC伺服器. 連線成功後，以管理者(Operator)的身份執行惡意控制。

基本介紹

• 外文名：Win32/IRCBot.worm.293888.B
• 簡介： Win32/IRCBot.worm蠕蟲的變種
• 病毒類型：蠕蟲
• 傳播方式：利用Windows用戶帳號密碼漏洞

傳播路徑

[運行系統安全漏洞]

該蠕蟲利用Win32/IRCBot.worm 變更與Windows漏洞傳播.

MS03-039 RPC DCOM2 漏洞

[用戶帳號密碼漏洞]

WINDOWS NT 系列(WINDOWS NT, 2000, XP)已分享檔案夾的用戶帳號存有密碼漏洞時，連線系統後運行該蠕蟲. 密碼漏洞帳號的清單如下.

administrator

administrador

administrateur

administrat

admins

admin

staff

computer

owner

student

teacher

wwwadmin

guest

default

database

oracle

administrator

administrador

administrateur

administrat

admins

admin

password1

password

passwd

pass1234

12345

123456

1234567

12345678

123456789

1234567890

guest

linux

changeme

default

system

server

qwerty

outlook

internet

accounts

accounting

homeuser

oemuser

oeminstall

windows

win98

win2k

winxp

winnt

win2000

peter

susan

peter

brian

chris

george

katie

login

loginpass

technical

backup

exchange

bitch

hello

domain

domainpass

domainpassword

database

access

dbpass

dbpassword

databasepass

databasepassword

db1234

sqlpassoainstall

orainstall

oracle

cisco

compaq

siemens

nokia

control

office

blank

winpass

internet

intranet

student

teacher

staff

中毒症狀

[生成檔案]

在Windows系統資料夾生成如下檔案.

- tdrdhwd.exe (293,888 bytes)

注) Windows系統資料夾的類型以版本不同有差異. 在Windows 95/98/Me是C:\Windows\System, Windows NT/2000是C:\WinNT\System32, Windows XP是C:\Windows\System32.

[修改註冊表]

修改註冊表當系統啟動時自動運行.

HKEY_LOCAL_MACHINE\

SOFTWARE\

Microsoft\

Windows\

CurrentVersion\

Run

start up service = tdrdhwd.exe

HKEY_LOCAL_MACHINE\

SOFTWARE\

Microsoft\

Windows\

CurrentVersion\

RunServices

start up service = tdrdhwd.exe

HKEY_USERS\

S-1-5-21-343818398-1417001333-839522115-1003\

Software\

Microsoft\

OLE

start up service = tdrdhwd.exe

惡性功能

試圖連線特定 IRC(Internet Relay Chat: 利用網際網路的一種聊天服務)伺服器和聊天室. 連線成功後，以管理者(Operator)的身份執行惡意控制.

一般可運行的惡性功能如下.但IRC 伺服器管理者封閉該聊天室時，該惡性功能不會運行.

- 檔案運行及刪除

- 泄露系統信息及網路信息

- 記錄用戶輸入的內容(泄露用戶的密碼)

- 泄露特定遊戲CD Key 代碼

[IRC 伺服器]

1**.2**.3*.70

注) 一些地址由 * 來替代.