国家计算机病毒应急处理中心于2004年4月5日接到用户报告,该部门遭受病毒感染,造成局域网瘫痪,并发送大量的SYN包。经证实是感染了“斯伯特”(Backdoor_SDBOT)病毒的最新变种。
病毒运行后在系统文件夹下生成病毒文件,修改注册表。病毒还通过网络共享进行传播,并允许远程用户的访问。另外,病毒还进行SYN洪水攻击。被感染的用户也都使用了弱口令,给病毒可乘之机。
国家计算机病毒应急处理中心在这里提醒广大用户,立即升级杀毒软件和个人防火墙,并启动“实时监控”功能,同时将口令设置的较为复杂,做好病毒的防范工作。
有关该病毒分析报告如下:
病毒名称:“斯伯特”(Backdoor_SDBOT)
病毒类型:后门程序
病毒长度:107,740字节
影响系统:Win 95/98/NT/2000/Me/XP
病毒特征:
1、生成病毒文件
病毒运行后会在系统中生成如下文件:
%System%\WIMMTRE.EXE
(其中,%System%在Windows 95/98/Me 下为C:\Windows\System,在Windows NT/2000下为C:\Winnt\System32,在Windows XP下为 C:\Windows\System32)
2、修改注册表
病毒添加注册表项,使得自身能够在系统启动时自动运行,在
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run中添加
Module WinMeter = "wimmtre.exe"
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run中添加
Module WinMeter = "wimmtre.exe"
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices 中添加
Module WinMeter = "wimmtre.exe"
3、删除共享
病毒试图删除以下共享
C$
D$
IPC$
ADMIN$
4、通过网络共享传播
病毒可以通过网络共享进行传播,它会在下列路径生成病毒文件:
\IPC$ \wimmtre.exe
\D$ \wimmtre.exe
\print$ \wimmtre.exe
\c$ \wimmtre.exe
\Admin$ \wimmtre.exe
\c$ \windows\system32\wimmtre.exe
\c$ \winnt\system32\wimmtre.exe
\Admin$ \system32\wimmtre.exe
5、后门功能
病毒允许远程用户访问被感染机器的文件和其它系统资源,同时还可以进行弱口令攻击,是系统安全受到威胁。另外,病毒还进行SYN洪水攻击。
清除该病毒的一些建议:
1、终止病毒进程
在Windows 9x/ME系统,同时按下CTRL+ALT+DELETE,在Windows NT/2000/XP系统中,同时按下CTRL+SHIFT+ESC,选择“任务管理器——〉进程”,选中正在运行的病毒进程,并终止其运行。
2、注册表的恢复
点击“开始——〉运行”,输入regedit,运行注册表编辑器,依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
并删除面板右侧的Module WinMeter = "wimmtre.exe"
3、删除病毒释放的文件
点击“开始——〉查找——〉文件和文件夹”,查找文件“wimmtre.exe”,并将找到的文件删除。
4、运行杀毒软件,对系统进行全面的病毒查杀
5、修改弱口令,请用户将口令设置的较为复杂,减少被攻破的可能性
相关链接:
Webmin---Linux下的用户管理工具 http://club.sob8.com/read-htm-tid-40541.html
病毒运行后在系统文件夹下生成病毒文件,修改注册表。病毒还通过网络共享进行传播,并允许远程用户的访问。另外,病毒还进行SYN洪水攻击。被感染的用户也都使用了弱口令,给病毒可乘之机。
国家计算机病毒应急处理中心在这里提醒广大用户,立即升级杀毒软件和个人防火墙,并启动“实时监控”功能,同时将口令设置的较为复杂,做好病毒的防范工作。
有关该病毒分析报告如下:
病毒名称:“斯伯特”(Backdoor_SDBOT)
病毒类型:后门程序
病毒长度:107,740字节
影响系统:Win 95/98/NT/2000/Me/XP
病毒特征:
1、生成病毒文件
病毒运行后会在系统中生成如下文件:
%System%\WIMMTRE.EXE
(其中,%System%在Windows 95/98/Me 下为C:\Windows\System,在Windows NT/2000下为C:\Winnt\System32,在Windows XP下为 C:\Windows\System32)
2、修改注册表
病毒添加注册表项,使得自身能够在系统启动时自动运行,在
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run中添加
Module WinMeter = "wimmtre.exe"
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run中添加
Module WinMeter = "wimmtre.exe"
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices 中添加
Module WinMeter = "wimmtre.exe"
3、删除共享
病毒试图删除以下共享
C$
D$
IPC$
ADMIN$
4、通过网络共享传播
病毒可以通过网络共享进行传播,它会在下列路径生成病毒文件:
\IPC$ \wimmtre.exe
\D$ \wimmtre.exe
\print$ \wimmtre.exe
\c$ \wimmtre.exe
\Admin$ \wimmtre.exe
\c$ \windows\system32\wimmtre.exe
\c$ \winnt\system32\wimmtre.exe
\Admin$ \system32\wimmtre.exe
5、后门功能
病毒允许远程用户访问被感染机器的文件和其它系统资源,同时还可以进行弱口令攻击,是系统安全受到威胁。另外,病毒还进行SYN洪水攻击。
清除该病毒的一些建议:
1、终止病毒进程
在Windows 9x/ME系统,同时按下CTRL+ALT+DELETE,在Windows NT/2000/XP系统中,同时按下CTRL+SHIFT+ESC,选择“任务管理器——〉进程”,选中正在运行的病毒进程,并终止其运行。
2、注册表的恢复
点击“开始——〉运行”,输入regedit,运行注册表编辑器,依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
并删除面板右侧的Module WinMeter = "wimmtre.exe"
3、删除病毒释放的文件
点击“开始——〉查找——〉文件和文件夹”,查找文件“wimmtre.exe”,并将找到的文件删除。
4、运行杀毒软件,对系统进行全面的病毒查杀
5、修改弱口令,请用户将口令设置的较为复杂,减少被攻破的可能性
相关链接:
Webmin---Linux下的用户管理工具 http://club.sob8.com/read-htm-tid-40541.html
回复Comments
{commenttime}{commentauthor}
{CommentUrl}
{commentcontent}