蠕蟲病毒Win32.Petribot.AMJ

蠕蟲病毒Win32.Petribot.AMJ是計算機網路上的一種病毒,危害性是中等。

病毒名稱

病毒名稱:蠕蟲病毒Win32.Petribot.AMJ
其它名稱:W32/SDBot.WFF (F-Secure), WORM_SDBOT.WIE (Trend), W32/Sdbot-DFJ (Sophos) , Backdoor.Win32.SdBot.bhk (Kaspersky), Trojan:Win32/Ircbrute!162A (MS OneCare)
病毒屬性:蠕蟲病毒危害性:中等危害流行程度:中

具體介紹

病毒特性
Win32/Petribot.AMJ是一種IRC控制後門的蠕蟲,能夠未經授權的訪問被感染機器。它會通過很多不同的軟體漏洞並利用弱口令進入默認共享進行傳播。它是大小為515,584位元組的 Win32 可運行程式
感染方式
運行時,Win32/Petribot.AMJ 複製"regent.exe"到%Windows% 目錄,並作為一個服務安裝,為了在每次系統啟動時自動運行病毒。服務有以下特徵:
Service name: Register Manager
Display name: Register Manager
Path to executable: %Windows%\regent.exe
Startup type: Automatic
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\ = "%Windows%\regent.exe"
註:'%Windows %'是一個可變的路徑。病毒通過查詢作業系統來決定當前系統資料夾的位置。Windows 2000 and NT默認的系統安裝路徑是C:\Winnt; 95,98 和 ME 的是C:\Windows; XP 的是C:\Windows。
這個變體還會生成以下註冊表,為了儲存它自己使用的數據:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\12
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\13
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\14 = ""
傳播方式
通過漏洞傳播
Win32/Petribot.AMJ通過攻擊以下系統漏洞和第三方軟體漏洞進行傳播:
Microsoft Windows LSASS buffer overflow vulnerability (TCP 445連線埠)
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx
Microsoft Windows RPC malformed message buffer overflow vulnerability (TCP 135, 445連線埠)
http://www.microsoft.com/technet/security/bulletin/MS03-039.mspx
Exploiting weak passwords on MS SQL servers, including the Microsoft SQL Server Desktop Engine blank 'sa' password vulnerability (TCP 1433連線埠)
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q321081
FTPD buffer overflow vulnerabilities
http://www3.ca.com/securityadvisor/vulninfo/vuln.aspx?ID=1833
通過網路共享傳播
Win32/Petribot.AMJ 通過Windows 檔案共享感染遠程機器。它通過探測TCP 139 和 445連線埠掃描目標機器。如果它能夠連線這兩個連線埠的任意一個,它就會連線Windows 共享:
\\\ipc$
這裡的是病毒嘗試感染的機器名。
如果連線成功,它就會嘗試獲取目標機器的用戶名列表,隨後使用這些用戶名訪問系統。如果它不能獲取用戶名列表,它就會嘗試使用以下用戶名:
administrator
administrador
administrateur
administrat
admins
admin
staff
root
computer
owner
student
teacher
wwwadmin
guest
default
database
dba
oracle
db2
蠕蟲嘗試複製到以下位置:
Admin$
Admin$\system32
c$\winnt\system32
c$\windows\system32
d$\winnt\system32
d$\windows\system32c$\
d$\
e$\
f$\
g$\
h$\
IPC$
如果成功連線,蠕蟲就會複製到目標機器,並安排一個遠程任務,在目標機器上運行蠕蟲的副本。
危害
後門功能(連線埠:可變的)
Win32/Petribot.AMJ包含後門功能,允許未經授權的訪問,並控制被感染機器。它通過IRC控制,連線到不同的伺服器、連線埠和信道。利用後門,Petribot.AMJ的控制者可能執行以下操作:
列出並停止執行緒;
獲取mIRC 信息,並控制mIRC;
添加/刪除/讀取註冊表鍵值;
從註冊表獲取HTTP Mail 和 POP3 mail 的帳戶名;
獲取系統信息(例如:驅動器,記憶體,IP位址,用戶名等);
添加/刪除/運行檔案;
瀏覽驅動器/目錄;
通過FTP下載/上傳檔案;
執行DNS 查詢;
在其它的IRC host/channel 上啟動slave bots;
列出/終止進程;
獲取 bot 版本/狀況;
改變連線埠;
在任意連線埠啟動一個SOCKS proxy ;
在TCP或UDP連線埠探測信息包來監控機器的網路流量;
退出bot ;
將IRC 信息加密;
掃描IP位址段的機器漏洞進行攻擊;
啟動DoS 攻擊(Denial of Service),例如UDP flood, ICMP flood 和 ACK FLOOD
其它信息
蠕蟲訪問http://www.google.com來確定是否能夠訪問Internet
蠕蟲使用以下站點來確定本地機器的外部IP:
http://www2.dokidoki.ne.jp/tomocrus/cgi-bin/check/prxjdg.cgi
http://www.kinchan.net/cgi-bin/proxy.cgi
http://www.pistarnow.is.net.pl/azenv.php
http://cgi.break.power.ne.jp/check/prxjdg.cgi
http://www.proxy4free.info/cgi-bin/prxjdg.cgi
http://69.59.137.236/cgi/prxjdg.cgi
http://tutanchamon.ovh.org/azenv.php
http://www.proxy.us.pl/azenv.php
http://test.anonproxies.com/azenv.php
http://www.nassc.com/pr.php
http://www.littleworld.pe.kr/azenv.php
http://www.anonymitytest.com/cgi-bin/azenv.pl
http://tn0828-web.hp.infoseek.co.jp/cgi-bin/proxyjudge.cgi
清除:
KILL安全胄甲Vet 30.7.3717版本可檢測/清除此病毒。

相關詞條

相關搜尋

熱門詞條

聯絡我們