Backdoor_SDBOT“斯伯特”病毒防范提醒

风清云淡小米儿

国家计算机病毒应急处理中心于2004年4月5日接到用户报告，该部门遭受病毒感染，造成局域网瘫痪，并发送大量的SYN包。经证实是感染了“斯伯特”（Backdoor_SDBOT）病毒的最新变种。 国家计算机病毒应急处理中心在这里提醒广大用户，立即升级杀毒软件和个人防火墙，并启动“实时监控”功能，做好病毒的防范工作。 有关该病毒分析报告如下： 病毒名称：“斯伯特”（Backdoor_SDBOT） 病毒类型：后门程序 病毒长度：107,740 字节 影响系统：Win 95/98/NT/2000/Me/XP 病毒介绍： 病毒运行后在系统文件夹下生成病毒文件，修改注册表。病毒还通过网络共享进行传播，并允许远程用户的访问。另外，病毒还进行SYN洪水攻击。 1、生成病毒文件 病毒运行后会在系统中生成如下文件: %System%\WIMMTRE.EXE （其中，%System%在Windows 95/98/Me下为C:\Windows\System，在Windows NT/2000下为C:\Winnt\System32，在Windows XP下为 C:\Windows\System32） 2、修改注册表项 病毒添加注册表项，使得自身能够在系统启动时自动运行，在 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run中添加 Module WinMeter = "wimmtre.exe" 在HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run中添加 Module WinMeter = "wimmtre.exe" 在HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices 中添加 Module WinMeter = "wimmtre.exe" 3、删除共享 病毒试图删除以下共享 C$ D$ IPC$ ADMIN$ Error 4、通过网络共享传播 病毒可以通过网络共享进行传播，它会在下列路径生成病毒文件： \IPC$\wimmtre.exe \D$\wimmtre.exe \print$\wimmtre.exe \c$\wimmtre.exe \Admin$\wimmtre.exe \c$\windows\system32\wimmtre.exe \c$\winnt\system32\wimmtre.exe \Admin$\system32\wimmtre.exe 5、删除共享 病毒允许远程用户访问被感染机器的文件和其它系统资源，同时还可以进行弱口令攻击，是系统安全受到威胁。另外，病毒还进行SYN洪水攻击。 清除该病毒的相关建议： 1、终止病毒进程 在Windows 9x/ME系统，同时按下CTRL+ALT+DELETE，在Windows NT/2000/XP系统中，同时按下CTRL+SHIFT+ESC，选择“任务管理器——〉进程”，选中正在运行的病毒进程，并终止其运行。 2、注册表的恢复 点击“开始——〉运行”，输入regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run KEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices 并删除面板右侧的Module WinMeter = "wimmtre.exe" 3、删除病毒文件 点击“开始——〉查找——〉文件和文件夹”，查找文件“wimmtre.exe”，并将找到的文件删除。 4、运行杀毒软件对系统进行全面的病毒查杀 5、修改弱口令，请用户将口令设置的较为复杂，减少被攻破的可能性