※ 本文轉錄自 [supremacy] 看板

作者: potent (傳達不到的心意...) 站內: supremacy
標題: [資訊] MSN新病毒 photo album.zip 不要接受
時間: 2007/03/31 Sat 10:23:33

剛剛本人受到MSN病毒攻擊
photo album.zip  裡面檔案叫做photo album2007.pif
這是最新的MSN病毒
他會背景執行然後 發給你MSn 上面所有聯絡人
卡巴斯基認定為 病毒名： Backdoor.Win32.IRCBot.aaq

三、行為分析：
1、病毒運行后衍生病毒文件到系統目錄下：
   %WINDIR%\photo album.zip%WINDIR%\photoalbum.zip
   %system32%\rdshost.dll%system32%\rdshost.dll

2、關閉當前任務管理器中一切可以關閉的進程。

3、把病毒衍生的文件rdshost.dll插入到系統正常進程Explorer.exe中，並通過
   rdshost.dll連接指定的IRC信道，並接受控制者遠程控制。

4、修改註冊表，添加啟動項目，以達到開机啟動的目的地

5.病毒通過MSN傳播，會檢查用戶是否開啟MSN，如果開啟則自動向用戶MSN中的好友自動發
  送訊息

清除方法
1.開啟regedit  把 以下啟動碼刪除
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObje\
ctDelayLoad]
"rdshost"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"
[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@="rdshost.dll"

2.重開機
3.刪除病毒檔案：
     %Windows%\photo album.zip
     %System%\rdshost.dll

附注:  %system%是一個可變路徑
       2000/NT 為C:\Winnt\System32
       windows95/98/me 為C:\Windows\System
       XP為C:\Windows\System32

--
 ◤◥ Origin:  成大物治˙黃金之島  golden.twbbs.org 
 ◣◢ Author: potent 從 125-229-0-185.dynamic.hinet.net 發表