标题: 通过MSN传播的IRCBot svchost.exe img1756.zip 解决方案 [打印本页] 作者: 漫舞 时间: 2007-8-30 11:33 标题: 通过MSN传播的IRCBot svchost.exe img1756.zip 解决方案 看到MSN好友给我发照片，也没仔细看，直接接受并且打开。结果完了！MSN自动不停给我的MSN上的好友发信息。这才意识到中毒了！
幸好装了雨过天晴电脑保护系统，赶紧打开恢复了下系统，20秒后电脑恢复到了以前健康的状态。没有装雨过天晴的中招的朋友们，也别担心，还有一种解决方案，不过相对麻烦了些。发出来给大家共享一下。
病毒名称：Backdoor.Win32.SdBot.aad（Kaspersky）
病毒别名：W32/Generic.Delphi.a（McAfee）
Trojan.Win32.Agent.kr（瑞星）
病毒大小：41,984 字节
样本MD5：8f8b66e936ba101efc6e3cb5d1dec814
样本SHA1：846e96195e07a5ee1ab2ee6e8d000793d91fd331
发现时间：2007.8
更新时间：2007.8
传播方式：通过MSN传播
技术分析
==========
病毒向MSN联系人发送消息和伪装成照片的带毒压缩包，当对方联系人接收并打开压缩包中的文件时系统受到感染。
病毒被运行后在系统目录生成包含自身副本的ZIP压缩文件：
%Windows%\img1756.zip
压缩包内文件名是img1756.scr，图标使用了XP系统的一个图片文件图标。
创建副本：
%Windows%\svchost.exe
创建启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Genuine Logon"="svchost.exe"
试图使用C:\a.bat批处理停止“安全中心”和“WinVNC”服务：
@echo off
net stop "Security Center"
net stop winvnc4
del c:\a.bat
向MSN联系人发送消息和伪装成照片的带毒压缩包%Windows%\img1756.zip：
look @ my cute new puppy :-D
look @ this picture of me, when I was a kid
I just took this picture with my webcam, like it?
check it, i shaved my head
have u seen my new hair?
what the fuck, did you see this?
hey man, did you take this picture?
尝试连接的远程IRC：vpn.basecore.info
Mutex: JFangaY
