文件名稱：devic.exe

文件大小：23304 bytes

AV命名：（virustotal上僅卡吧一家報(bào)）Backdoor.Win32.SdBot.cok

加殼方式：未知

編寫語言：VC

病毒類型：IRCbot

文件MD5：45de608d74ee4fb86b20da86dcbeb55c

行為分析：

1、釋放病毒副本：

C:\WINDOWS\devic.exe , 23304 字節(jié)
C:\WINDOWS\img5-2007.zip , 23456 字節(jié)

2、添加注冊(cè)表，開機(jī)啟動(dòng)：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


(注冊(cè)表值) SystemDevic = "devic.exe"

3、每隔5秒試探網(wǎng)絡(luò)并連接韓國IRC服務(wù)器：irc.pNet.com，以隨機(jī)命名和空密碼用戶登入。

4、可能會(huì)接受以下命令：

pB.Main ->
pB.irc ->
pB.Thread ->
pB.wget ->
pB.update ->
pB.Spam-MSN ->
pB.Botkiller ->
pB.pStore ->
pB.Visit ->
pB.DDos ->

5、往MSN好友發(fā)送病毒壓縮包和以下隨機(jī)一條：

Qu?usted piensa de este cuadro?
Consegu?a nuevo cuadro de m?la toma una mirada
algunos cuadros de la semana pasada, consideran si usted tiene gusto en ellos.
tiene usted visto este picure todav
Haha, es que usted?
Debo utilizar este cuadro en msn?
Qu?usted piensa en esto?
Was denken Sie an diese?
was denken Sie an dieses picure? ich glaube, da?ich h
lich schaue :/
sind hier eine neue Abbildung von mir
einige Abbildungen von der letzten Woche, sehen, wenn Sie sie m
Haha, diese sind Sie auf dieser Abbildung?
sollte ich diese Abbildung auf msn benutzen?
Was denken Sie an dieses?
Wat denkt u aan dit picure? ik vind ik lelijk kijk
Een paar beelden van vorige week, zien of houdt u hier van em nieuwe pic van me. :) 
Hebt u dit picure nog gezien?:p
Hebt u dit picure nog gezien? :p
Haha, bent u dat op dat beeld? :)
Zou ik dit beeld op msn moeten gebruiken?
Wat denkt u over dit?
que pensez-vous ?ce picure ? je me sens que je semble laid :/
Voici un nouveau pic de moi
Quelques images de la semaine derni
e, voient si vous les aimez
Avez-vous vu ce picure encore ?
Haha, est-vous ce sur cette image ?
Si j'emploient cette image sur le msn ?
Que pensez-vous ?mon image ?
:(:(:(:(
Here's a new pic of me
A few pictures from last week, see if you like em
:D:D:D::D
Have you seen this picure yet?
Haha, is that you on that picture?
Should i use this picture on msn?
What do you think about this?

另外那個(gè)img5-2007.zip，里面的病毒可能命名為：

www.photo5-2007-12.JPEG.com
img3-2007-12.JPEG.com
img2-2007-12.JPEG_www.images.com
img-2007-12.JPEG.scr

都是可執(zhí)行程序，呵呵。

解決方法：

1、開始－運(yùn)行－regedit。

2、展開到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

刪除這個(gè)項(xiàng)：SystemDevic。

3、重啟電腦。

4、刪除硬盤文件：

C:\WINDOWS\devic.exe

C:\WINDOWS\img5-2007.zip

另外有其他MSN蠕蟲變種，上述方法無法清除的

最新評(píng)論