瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【病毒预警】W32.Esbot.A（又一个通过MS05-039漏洞传播的蠕虫）

1   1  /  1  页   跳转页

【病毒预警】W32.Esbot.A（又一个通过MS05-039漏洞传播的蠕虫）

收藏
天下奇才
头像
卡卡巡查
  • 帖子:28107
  • 注册: 2001-11-04
  • 来自:卡卡女性协会
卡卡风雨同舟勋章论坛8周年活动礼物卡卡名人堂论坛9周年纪念10温馨圣诞
发表于： 2005-08-17 17:03 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

【病毒预警】W32.Esbot.A（又一个通过MS05-039漏洞传播的蠕虫）

病毒名：W32.Esbot.A
Backdoor.Win32.IRCBot.es [Kaspersky Lab], W32/IRCbot.gen [McAfee], W32/Sdbot-ACG [Sophos], BKDR_RBOT.BD [Trend Micro]
类型：蠕虫
长度：8,201 bytes
影响系统：Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

病毒行为

1 创建互斥量mousebm和mousemm，使蠕虫运行

2 复制病毒
%System%\mousebm.exe
%System%\mousemm.exe

3 注册服务
服务名: mousebm
描述：Enables a computer to maintain synchronization with a PS/2 pointing device. Stopping or disabling this service will result in system instability.

服务名: mousemm
描述：Enables a computer to maintain synchronization with a PS/2 pointing device. Stopping or disabling this service will result in system instability.


4 把自己挂在到explorer.exe上

5 修改注册表
使HKEY_LOCAL_MACHINE\Software\Microsoft\Ole中的"EnableDCOM" 值变成 "N"，破坏DCOM（注：Microsoft的分布式COM（DCOM）扩展了组件对象模型技术（COM）,使其能够支持在局域网、广域网甚至Internet上不同计算机的对象之间的通讯）

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa中加入"restrictanonymous" = "1"

6 创建只读文件%Windir%\debug\dcpromo.log

7 创建IRC连接，并等待命令
如果接到命令，可以进行一下活动
（1）下载或者删除文件
（2）中止程序
（3）进行DoS攻击
（4）从本地硬盘搜索文件
（5）寻找存在漏洞的机子，并试图传播



请各位注意防护，尽早打上补丁！

最后编辑2005-08-18 00:35:01
分享到：
gototop
 
子阳
头像
雄霸杖朝狮
  • 帖子:14755
  • 注册: 2004-04-13
  • 来自:
发表于： 2005-08-17 17:11 | 短消息 资料
字号： 小 中 大 2楼

谢谢提醒.
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2005-08-17 17:16 | 短消息 资料
字号： 小 中 大 3楼

W32.Esbot.A免费专杀工具（在附件中）。
注意：使用TPF2005防火墙的用户，必须禁用“windows security”，才能使用本专杀工具。

附件附件:

下载次数:0
文件类型:application/octet-stream
文件大小:
上传时间:2005-8-17 17:16:57
描述:
gototop
 
天下奇才
头像
卡卡巡查
  • 帖子:28107
  • 注册: 2001-11-04
  • 来自:卡卡女性协会
卡卡风雨同舟勋章论坛8周年活动礼物卡卡名人堂论坛9周年纪念10温馨圣诞
发表于： 2005-08-17 17:20 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

引用:
【baohe的贴子】W32.Esbot.A免费转杀工具（在附件中）。
注意：使用TPF2005防火墙的用户，必须禁用“windows security”，才能使用本专杀工具。
...........................

你怎么什么都有……
gototop
 
命运里の金色
头像
社区嘉宾
  • 帖子:11442
  • 注册: 2005-01-01
  • 来自:
发表于： 2005-08-17 17:22 | 短消息 资料
字号： 小 中 大 5楼

哦,收到
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2005-08-17 17:36 | 短消息 资料
字号： 小 中 大 6楼

引用:
【天下奇才的贴子】
你怎么什么都有……
...........................

给我身边那些MM们准备的。中招后，她们只会向你要解决办法，就是不肯让你装些必要的工具软件。都是些“实用主义者”。
gototop
 
天下奇才
头像
卡卡巡查
  • 帖子:28107
  • 注册: 2001-11-04
  • 来自:卡卡女性协会
卡卡风雨同舟勋章论坛8周年活动礼物卡卡名人堂论坛9周年纪念10温馨圣诞
发表于： 2005-08-17 21:41 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

W32.Esbot.B已经发现！
gototop
 
命运里の金色
头像
社区嘉宾
  • 帖子:11442
  • 注册: 2005-01-01
  • 来自:
发表于： 2005-08-17 21:48 | 短消息 资料
字号： 小 中 大 8楼

又有新变种~~,哎~~
gototop
 
bobo无极限
头像
初生襁褓狮
  • 帖子:12325
  • 注册: 2005-07-08
  • 来自:
发表于： 2005-08-18 00:35 | 短消息 资料
字号： 小 中 大 9楼

帮忙顶
让更多的朋友看到
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT