科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网›安全频道 ›通过MSN传播的IRCBot msnfix.exe libweb.dll 解决方案

通过MSN传播的IRCBot msnfix.exe libweb.dll 解决方案

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

MSN蠕虫变种，病毒发作.时向MSN联系人发送欺骗文字消息和带毒压缩包，对方联系人接受并打.开带毒压缩包中的病毒文件时系统将受到感染。

作者：zdnet安全频道 来源：论坛整理 2008年6月20日

关键字： libweb.dll msnfix.exe

  • 评论
  • 分享微博
  • 分享邮件

病毒名称：Backdoor.Win32.IRCBot.acd [exe]（Kaspersky）
            病毒别名：Win32.Hack.IRCBot.360448 [exe]（毒霸）
            病毒大小：115,712 字节
            加壳方式：PE_Patch NTKrnl
            样本MD5：0b5f8795412ba235a68d0d7aa8f17407
            样本SHA1：976116afcf27514afbb9e022639ff8fa0717c8e3
            发现时间：2007.8
            更新时间：2007.8
            关联病毒：
            传播方式：通过MSN传播


            技术分析
            ==========

                   

            病毒运行后复制自身到系统目录：
            %System%\msnfix.exe

            释放dll注入进程：
            %System%\libweb.dll

            创建ShellServiceObjectDelayLoad启动方式：

            [Copy to clipboard] [ - ]CODE:
            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
            "Version1"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"

            [HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
            @="libweb.dll"
            注：{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}为一串{CLSID}，病毒产生的{CLSID}不固定，如：{731A026D-383E-4C8C-A51F-367F830BB820}。

            在%Windows%目录下生成包含自身副.本的ZIP压缩包，文件名不固定，由以下字符和随机数字组合而成：

            [Copy to clipboard] [ - ]CODE:
            love
            DSC03435
            IMG84387
            beachpicture
            Photo
            secretimages
            比如：
            love3.zip (包含love3.scr)
            Photo91.zip (包含Photo91.scr)
            beachpicture54.zip (包含beachpicture54.scr)
            secretimages23.zip (包含secretimages23.scr)
            DSC0343555.zip (包含DSC0343555.scr)
            IMG8438789.zip (包含IMG8438789.scr)

            根据染毒系统语言，病毒向MSN.联系人发送以下文字和上述病毒压缩包：

            QUOTE:
            hihi look at my horny pictures :$
            hi howdy ? accept it !! (H)
            look at my great summer pictures (B)(D)
            i love u thats why i send this !!! :o
            oh my god look at this picture :o wowwww
            this is me drinking some juice !!

            Yeni fotograflarima Bakarmisin :)
            Bu Resmi PhotoShopla Yaptim Mutlaka G鰎melisin
            En Sevdigim Fotorafim Bu :p
            Fotografimi kabul etde g鰎 :)
            Daha 㱮mdi 鏴ktim bu fotolari taptaze :)
            Al bak fotoma kimseye yoLLama ama :)

            hey regarde mes nouvelles tofs :P
            salut! accept mes tofs! (H)
            T'as pas vu mes tof d'閠??? (B)(D)
            hey je viens de trouv?tes tof sur net :S
            oh mon dieux regarde ca!!
            c moi entrain .du boire jus!!

            hihi kijk eens naar mijn geile fotos :$
            ey alles goed ? accepteer het !! (H)
            kijk eens naar mijn zomer fotos (B)(D)
            ik hou van je, daarom stuur ik je dit !!! :o
            oh my god kijk eens naar die foto :o wowwww

            guck wie scheisse Paris Hilton aussieht, seitdem sie wieder aus dem
            knast ist :(
            du und ich !!! ....guck :p
            siehe meine fotos hihi :p
            hey bitte nimm meine fotos an :o !!
            ein foto mit meinem besten freund und mir :$ !!

            Guarda come Paris Hilton sprecato ? dopo che era imprijonata :(
            Tu ed io !!! .... guarda :p
            Guardi le mie foto hihi :p
            Mairee photos accept karo :o !!
            Una foto con me ed il mio amico migliore :$ !!
            Questa e me totaly nudo :o prego non trasmette a chiunque

            Veja como Paris Hilton est?acabada depois de ter sido presa :(
            Voc?e eu !!!! .... Veja :p
            Veja as minhas fotos hehehe :p
            Por favor aceite as minhas fotos :o !!
            Uma foto com o meu melhor amigo e eu :$ !!
            Esta sou eu totalm.ente nua :o por favor n鉶 mande isso pra ningu閙

            kAN BA LI XI ER DUN JIN JIANYU HOU SHI DUO ME QIAOCUI :(
            NI HE WO !!! .... QING KAN :p
            KAN WO DE ZHAOPIAN :p
            JIESHOU WO DE ZHAO PIAN :o !!
            YI ZHANG WO GEN WO PENGYOU ZUI HAO DE ZHAOPIAN :$ !!

            Kolla hur f鰎st鰎d Paris Hilton 鋜, efter att hon f鋘gslades :(
            Du och jag !! .... Kolla ;)
            Kolla p?min bilder, hihi :p
            Hey, acceptera mina bilder, sn鋖la :o
            En bild p?mig och min b鋝ta v鋘 :$ !!!
            Detta 鋜 jag HELT naken.. :o
            Skicka inte till n錱on annan, sn鋖la...

            Mira c髆o Paris Hilton es perdida despu閟 de ser encarcelada :(
            Usted e yo !!! .... Mira :p
            Mira mis fotos jejeje :p
            Ha aceptado m.is fotos por favor :o !!
            Una foto con mi mejor amigo e yo :$ !!
            Esta soy yo totalmente desnuda :o por favor no env韆 para nadie

            Lede hvor spild Paris Hilton er efter hun fik f鎛gsel :(
            Jer og Mig !!! ... se :p
            Se p?min fotos :p
            Hej behage optage min foto :o !!
            EN foto ho.s mig og min bedst ven :$ !!
            denne er mig hele bar beha.ge vage vendlig og sende den ikk til nogle
            :o


            尝试连接远程IRC：www.onlinesciencexxx.com


            清除步骤
            ==========

            1. 删除病毒创建的ShellServiceObjectDelayLoad启动方式：

            [Copy to clipboard] [ - ]CODE:
            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
            "Version1"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"

            [HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
            @="libweb.dll"
            2. 重新启.动计算机

            3. 删除病毒文件：
            %System%\msnfix.exe
            %System%\libweb.dll

            4. 删除%Windows%目录下病毒ZIP压缩包，如：
            love3.zip (包含love3.scr)
            Photo91.zip (包含Photo91.scr)
            beachpicture5.4.zip (包含beachpicture54.scr)
            secretimages23.zip (包含secretimages23.scr)
            DSC0343555.zip (包含DSC0343555.scr)
            IMG8438789.zip (包含IMG8438789.scr)

            5. 删除可能.存在的文件：
            %userprofile%\auto.txt

    • 评论
    • 分享微博
    • 分享邮件
        VIP专区
        邮件订阅

        如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。

        重磅专题
        往期文章
        最新文章

        业界热点:

        北京第二十六维信息技术有限公司（至顶网）版权所有. 京ICP备15039648号-7 京ICP证161336号 京公网安备 11010802021500号