一个利用irc做为控制平台的后门蠕虫病毒
病毒行为：
病毒运行后，建立一个名为“asdfasdf”的互斥量。以防止重复执行。
病毒建立3个线程分别实现：
1.一个后门：
病毒监听420端口，当有连接时。病毒将把当前系统ip及病毒的FTP服务端口，及病毒当前文件名传过去。（实际上是供给攻入其它系统的那段shell代码使用）
2.一个ftp服务器
病毒监听7955端口，并实现一个攻能略少的ftp服务器。以便给攻入其它系统的shell代码提供病毒文件传输。
3.irc后门
病毒随机选取一个irc服务器并以随机的昵称登录到一个特定的频道以方便作者进行控制。
病毒实现了如下一些后门命令功能。
killthread,threads,irc.quit,scan.stats,scan.start,logout,login,http.updateid http.update,http.execute,http.download,bot.credits,bot.eXPloits,bot.remove
bot.sysinfo,bot.ip
病毒能扫描以下漏洞及后门并利用其进行传播：
Kuang backdoor,Bagle backdoor,RPC3 (MS04-011),RPC1 original,Sasser FTPd exploit
ISS 5.0 WebDAV 3,Workstation (MS03-043)..
病毒以120秒为周期在注册表中加入两个键值
1.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
"MS Autoupdate"=％VIRUSFILENAME％
2.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"MS Autoupdate"=％VIRUSFILENAME％
病毒的清除法： 使用光华反病毒软件，彻底删除。 病毒演示： 病毒FAQ： Windows下的PE病毒。
发现日期： 2004-5-19
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
