病毒綜述
病毒名稱： Backdoor.Win32.Rbot.gen
中文名稱： Rbot
病毒類型： 後門類
檔案 MD5： 0A88A587E4312932A7905B1A1F0CC233
公開範圍： 完全公開
危害等級： 中等
檔案長度： 171,520 位元組
感染系統： Win9X以上系統
開發工具： Microsoft Visual C++ 6.0
命名對照： 驅逐艦[Win32.HLLW.MyBot.based]
ewido[Backdoor.Rbot]
病毒描述
行為分析：
1、釋放下列副本與檔案
%System32%\ lserv.exe 病毒副本
2、新建註冊表鍵值：
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunService\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices\Microsoft Office
鍵值: 字元串: "lserv.exe"
3、連線下列IRC地址：
TCP 本機IP: 1113 ***.**.39.8 : 8585
4、可以執行下列惡性行為：
掃描IP段，以進行傳播，IP段自動生成
建立FTP、TFTP伺服器,傳送檔案
打開連線埠
打開與建立檔案
DDOS攻擊
Psniff
打開與停止服務
指定下載
泄露用戶共享信息[net]: share list
5、記錄受控端信息
account: %s
full name: %s
user comment: %s
comment: %s
unknown
administrator
user
guest
privilege level: %s
auth flags: %d
home directory: %s
parameters: %s
password age: %d
bad password count: %d
number of logins: %d
last logon: %d
last Logoff: %d
logon server: %s
workstations: %s
country code: %d
user's language: %d
max. storage: %d
units per week: %d
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
lserv.exe
(2) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\Microsoft Office
鍵值: 字元串: "lserv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunService\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunServices\Microsoft Office
鍵值: 字元串: "lserv.exe"
