IRCBot G038_jpg.zip CDSpeed.exe
病毒名称：Backdoor.Win32.IRCBot.aex（Kaspersky）
病毒别名：
病毒大小：435,200 字节
加壳方式：
样本MD5：3ede1801994c59b35b96aac2b13852d1
样本SHA1：6ad5556368fe3e497b84e0670d43b948cf7cc1cb
发现时间：2007.8
更新时间：2007.8
关联病毒：
传播方式：通过MSN传播 字串8
技术分析
==========
字串9
MSN蠕虫变种，根据系统语言向MSN联.系人发送诱惑文字消息和带毒压缩包，当联系人接收并打开带毒压缩包中的病毒文件时系统受
字串5
到感染。
字串8
病毒运行后在系统目录生成包含自身的带毒ZIP压缩包：
%Windows%G038_jpg.zip
其中包含病毒.文件名为：www.G038_jpg-msn.com 字串2
创建副本：
%Windows%CDSpeed.exe
字串7
创建启动项： 字串2
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"CDSpeed.exe"="%Windows%CDSpeed.exe"
修改注册表关闭.系统文件保护：
字串1
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionWinlogon]
"SFCDisable"=dword:ffffff9d
"SFCScan"=dword:00000000
更改自动关闭.进程等待时间：
字串9
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl]
"WaitToKillServiceTimeout"="7000"
破坏FTP程序文件：
%System%ftp.exe
%System%dllcacheftp.exe
%System%ftp.exe
%System%dllcacheftp.exe
原正常程序复制到：
%System%microsoftackup.tftp
%System%microsoftackup.ftp
字串3
根据染毒系统语.言向MSN联系人发送相应诱惑文字消息，同时发送带毒压.缩包G038_jpg.zip诱使联系人接收打开：
字串5
QUOTE:
dessa 鋜 egentligen trevliga: P
gyckel m錽te se dig detta fotografera
du fick se detta dess galet :p
estes s鉶 realmente agrad醰eis :P
wow voc?viu este?
como voc?gosta de me nesta foto
voc?come鏾u ver este seu assim engra鏰do
Bu resimler nasil sence bir bakarmisin :)
su komik resimlerime baksana :D 字串2
bak :P
Kiz kardesim bunlari sana yollamami s鰕ledi ;)
bu resimler space i鏸n nasil
Space ime bun resimleri eklesem sence nasil olur
avete ottenuto vedere questo relativo cos?divertente
come lo pensate osservi qui sguardo di lol
a questo controllo di distorsione di velocit?questo fuori
el lol mi hermana quisiera que le enviara este 醠bum de foto
vengo de fi este foto 醠bum
ey i que hace el 醠bum de foto!
字串4
Si vea el loL del em
l tipo, me acepta por favor su solamente 醠bum de foto: (!
lol meine Schwester w黱scht mich Ihnen dieses Fotoalbum schicken
Geck, nehmen bitte sein nur mich Fotoalbum an: (!
he m鯿hten mein neues Fotoalbum sehen?
hoe vind je dit er uit zien ?
hoe vind je dit ?
echt erg kijk dan
zo hee moet je dit zien echt niet normaal
zo moet je me hier op zien lol 字串2
lol he hoe vind je me hier op
eeeh c mes tof :p
c seulement mes tof de derniers vacances
tu dois voire les tof de notre bande
comment est-ce que je regarde sur cette photo ?
le lol ceci est dr鬺e
ma soeur a voulu que tu regarde ca
d闲aut de la reproduction sonore avez-vous vu ceci ?
looooook :p
loooooooooooool :D
字串1
lol he looks weird on this photo
omg check this out man this is funny
lol you got to see this :P
尝试连接远程IRC：www.worldcasino.to
字串9
清除步骤
========== 字串2
1. 删除病毒创.建的启动项：
字串2
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"CDSpeed.exe"="%Windows%CDSpeed.exe"
2. 重新启动计算机
字串2
3. 删除病.毒文件：
%Windows%G038_jpg.zip
%Windows%CDSpeed.exe
字串7
4. 恢复被破坏.的FTP程序文件，删除：
%System%ftp.exe
%System%dllcacheftp.exe
%System%ftp.exe
%System%dllcacheftp.exe
字串3
然后将%System%microsoftackup.tftp复制到：
%System%ftp.exe
%System%dllcacheftp.exe
字串3
将%System%microsoftackup.ftp复制到：
%System%ftp.exe
%System%dllcacheftp.exe 字串2
5. 修改注册.表恢复系统文件保护： 字串4
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
NTCurrentVersionWinlogon]
"SFCDisable"=dword:00000000
"SFCScan"键值可以删除。 字串4
6. 恢复系统自动关闭进程等待时间： 字串4
[Copy to clipboard] [ - ]CODE:
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl]
"WaitToKillServiceTimeout"="20000"
字串1