如何刪除 MSN 病毒 -img807.zip

2007年8月14日星期二

img807.zip vpcrtf.exe 解決方案

檔案編號：CISRT2007135
病毒名稱：Backdoor.Win32.IRCBot.zi（Kaspersky）
病毒別名：
病毒大小：86,528 字節
加殼方式：
樣本MD5：7299c5d5d5761779dfedfbd3808c8ed8
樣本SHA1：0fd4411e440c07e61090d6cf96b0ebb5dfa75512
發現時間：2007.8
更新時間：2007.8
關聯病毒：
傳播方式：通過MSN傳播

清除三步驟
==========

1. 刪除病毒植入的REGEDIT CODE：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Visual Application"="vpcrtf.exe"

2. 重新啟動電腦

3. 刪除病毒文件：
c:\Windows\img807.zip
c:\Windows\vpcrtf.exe(這是隱藏檔喔!)

技術分析
==========
病毒向MSN聯繫人發送消息和偽裝成照片的帶毒壓縮包，當對方聯繫人接收並打開壓縮包中的文件時系統受到感染。

病毒運行後在系統目錄生成包含自身的ZIP壓縮包：
c:\Windows\img807.zip
其中包含的病毒文件名為：img807.jpg-www.photoalbums.com

建立病毒執行檔並運行：
c:\Windows\vpcrtf.exe

建立啟動項：

CODE:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Microsoft Visual Application"="vpcrtf.exe"

使用c:\a.bat批處理停止「安全中心」和「WINVNC」服務：

@echo off
net stop "Security Center"
net stop winvnc4
del c:\a.bat

向MSN聯繫人發送消息和偽裝成照片的帶毒壓縮包:\Windows\img807.zip：

QUOTE:

Did you take this picture?
is that you on the left?
How drunk was I in this picture?
Is that your mom in this picture?
lol, your mom just sent me this picture?

PHP 程式學習筆記本

2007年8月14日星期二