Backdoor.Win32.Wootbot.gen

王朝百科·作者佚名 2010-02-19

宽屏版字体: 小 | 中 | 大 | 超大

病毒名称： Backdoor.Win32.Wootbot.gen

中文名称：无

病毒类型：后门

文件 MD5： 7F28689FEC0BF10058393CB7F9E75094

公开范围：完全公开

危害等级：中

文件长度：98,160 字节

感染系统： windows 98及以上版本

开发工具： Microsoft Visual C++ 6.0

加壳类型： FSG

命名对照：Symentec[无]

Mcafee[无]

病毒描述：

该病毒属后门类，主要通过网络共享传播，病毒运行后复制自身到%SYSTEM%iexplore.exe，而后修改注册表文件，注册为服务，为了达到欺骗用户的目的，其服务名为：Alerter Service，病毒运行后还会尝试停止某些服务。病毒开启本地端口后自动连接到某IRC信道，等待并接受恶意者的连接控制，窃取游戏的CD-KEY。该病毒对用户有一定的危害。

行为分析：

1、病毒运行后复制自身到：%SYSTEM%iexplore.exe

2、修改注册表，添加服务，达到随系统启动的目的

服务名称：Alerter Service

文件路径："%SYSTEM%iexplore.exe" -netsvcs

3、病毒运行后尝试停止某些服务，如：

wuauserv

WZCSVC

winmgmt

WebClient

W32Time

upnphost

uploadmgr

TrkWks

TermService

TapiSrv

stisvc

SSDPSRV

4、病毒通过网络共享及弱口令MYSQL进行传播。

5、尝试连接以下地址，等待并接受恶意者的控制，恶意者可以对感染主机执行任意操作。

66.7.174.***

216.221.188.***

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%SYSTEM%iexplore.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_METHINESYSTEMCurrentControlSet

Servicesalerters