Backdoor.Win32.Rbot.ang

病毒名称： Backdoor.Win32.Rbot.ang

中文名称： Variant of Rbot

病毒类型： Backdoor

文件 MD5： DDC06530197F002D94665D41F38AE974

公开范围： Wide-distribution

危害等级： Medium

文件长度：90,860 bytes

感染系统： windows 98 and above

开发工具： Microsoft Visual C++

加壳类型： Unknown

命名对照：Symentec[W32.Spybot.Worm]

Mcafee[W32/Sdbot.worm.gen.h]

病毒描述：

该病毒属后门类，为Rbot家族变种，该病毒家族的传播方式主要为：利用微软漏洞及网络共享。病毒运行后复制自身到%System%zlt32.exe下，修改注册表文件，达到随系统启动的目的。病毒运行后会在用户不知情的状态下连接到某些IRC信道，等待恶意用户的连接，并接受恶意操作，如上传、下载、删除、执行任意文件等。该病毒对用户有一定的危害。

行为分析：

1、病毒运行后复制自身到：%System%zlt32.exe

2、修改注册表文件：

HKEY_CURRENT_USERSoftwareMicrosoftWindows

CurrentVersionRunMicrosoft Update = "ZLT32.EXE"

HKEY_LOCAN_METHINESoftwareMicrosoftWindows

CurrentVersionRunMicrosoft Update = "ZLT32.EXE"

HKEY_LOCAN_METHINE SoftwareMicrosoftWindows

CurrentVersionRunServicesMicrosoft Update = "ZLT32.EXE"

3、连接到某些IRC信道，等待并接受恶意用户的连接及恶意操作。

4、病毒利用微软漏洞及网络共享传播。

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%System%zlt32.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_CURRENT_USERSoftwareMicrosoftWindows

CurrentVersionRunMicrosoft Update = "ZLT32.EXE"

HKEY_LOCAN_METHINESoftwareMicrosoftWindows

CurrentVersionRunMicrosoft Update = "ZLT32.EXE"

HKEY_LOCAN_METHINE SoftwareMicrosoftWindows

CurrentVersionRunServicesMicrosoft Update = "ZLT32.EXE"