Backdoor.SdBot.anx_病毒数据库

病毒名称: Backdoor.SdBot.anx 类别：后门病毒病毒资料：      破坏方法：

    IRC后门程序

    病毒采用VC编写，"Crypter v1.x"压缩。

    病毒运行后有以下行为：

    一、将自己复制到％SYSDIR％目录下，文件名为"IPSOFT.EXE"。

    二、创建名为"youpie"的互斥量，以确保只有一个病毒文件在运行。

    三、修改注册表以下键值以达到其自启动的目的：

    1.
    HKEY_LOCAL_MACHINE\Software\Microsoft
    \Windows\Currentversion\Run
    增加数据项："youpie"
    数据值为："IPSOFT.EXE"

    2.HKEY_CURRENT_USER\Software\Microsoft
    \Windows\Currentversion\Run
    增加数据项："youpie"
    数据值为："IPSOFT.EXE"

    3.
    HKEY_LOCAL_MACHINE\Software\Microsoft
    \Windows\Currentversion\RunServices
    增加数据项："youpie"
    数据值为："IPSOFT.EXE"

    四、利用病毒文件中携带的密码字典猜测网络中其他计算机系统管理员密码并试图登录该计算机，所使用的密码以下可能：

    "admin"、"adm"、"1"、"12"、"123"、"1234"、"12345"、
    "test"、"guest"、"none"、"changeme"、"default"、
    "system"、"server"、"null"、"qwerty"、"mail"、
    "Outlook"、"web"、"www"、"internet"、"accounts"、
    "accounting"、"home"、"homeuser"、"user"、"user1"、
    "oem"、"oemuser"、"windows"、"win98"、"win2k"、
    "winXP"、"winnt"、"win2000"、"Office"、"blank"、
    "winpass"、"capitol"、"main"、"hq"、"headoffice"、
    "internet"、"intranet"、"afro"、"user1"、"student"、
    "student1"、"teacher"、"staff"、"oeminstall"

    如果病毒登录成功，病毒会将自己复制到该计算机的以下目录，并使病毒文件运行：


    1."C:\Documents and Settings\All Users\Documents\"
    2."％SYSDIR％\"
    3."C:\shared\"

    五、连接IRC服务器"Zulu968.warezfr.ca"，以字串"dqv"打头的昵称登录"#youpie"聊天频道，等待控制端的连接，为其控制端提供以下远程控制服务：

    1.获取本地计算机系统信息；
    2.对指定IP的计算机进行拒绝服务攻击；
    3.下载指定网址的文件。
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ：      Windows下的PE病毒。
发现日期： 2005-1-18