11.11-11.17流行病毒排行榜NO.1：Win32.Troj.Poebot.70754.E959B747

Poebot, 排行榜

病毒大百科中有关该病毒的描述：http://vi.duba.net/virus/win32-troj-poebot-70754-e959b747-50021.html
病毒名:& P! C1 l+ R! E) l
Win32.Troj.Poebot.70754.E959B747- d* Y2 I: Q9 g
* P' u# t5 j( Z" g" ~% ~
威胁级别: ★★☆☆☆
病毒类型:木马程序5 r0 Q! n- Q# M4 Q3 U
病毒长度: 70754
影响系统: WinNT Win2000 WinXP Win2003

病毒行为:
该病毒运行后复制自身至系统文件夹，然后创建批处理删除自身，并通过伪装winamp播放器进程运行。病毒打开用户计算机后门，允许远程攻击者控制用户计算机，包括收集、下载、盗取用户信息，对用户的电脑系统及个人网络财产的安全构成严重威胁。同时该病毒会生成一个局域网IP地址，并利用系统漏洞及自身的密码字典，尝试破解弱密码，来进行恶意攻击和传播。

另外，该病毒还具有盗取网络游戏”魔兽世界“和”Unreal3“等CD-Keys的功能。% r* X+ \# W7 c% J
1.复制自身至
%system%\winamp.exe
然后用批处理删除自身: Z9 Q8 |  ^- q( |7 \: Y! S
2.启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunWinamp Agent "%sys32dir%\winamp.exe"
3.盗取以下软件用户信息（帐号、密码、CD-Keys）：
FlashFXP
internetexplorer
OutlookExpress- R! O( t8 h! U% C  ~% a
MSN Explorer
UnrealIRCD
Steam
World OfWarcraft
Conquer Online
4.复制自身至 IPC$ 共享：' m3 F/ B  T  }$ i( D- \5 `
IPC$
print$
C$\Documentsand Settings\All Users\Documents\$  y/ y' s3 V5 H0 ^+ h$ J4 g% g4 \1 o# J
admin$
Admin$\system32
c$\windows\system32
c$\winnt\system32$ N2 x, {' J* e) `7 c
c$\windows/ F* M1 ]; P/ |5 P- h
c$\winnt
e$\shared, h4 }; q' R3 _& K' j( B6 _/ Y3 T  B
d$\shared7 ?9 b( ~8 i  {" a( a: ^  b% G
c$\shared) p+ p) p& x$ e: u1 u. T% _
并利用以下弱密码攻击以获取权限：6 b: n0 D" n- q# @$ |
winpass
blank6 x  k; @# ~4 [5 D( X" P; H$ B
nokia
orainstall( l" a3 p. |; e' K; ^
sqlpassoainstall
databasepassword
databasepass
dbpassword
dbpass0 ~5 l; O# M& ]  Z
domainpassword
domainpass! [3 p# S3 y# j, A- Y3 R
hello% Z1 ^. m$ D  M9 b- G0 m* O) s
hell
love
money
slut
bitch3 W1 o4 T4 [0 Y, V4 u
fuck. C6 P& M: L0 `
exchange7 a( ?% I6 i% A; r5 N4 l
loginpass. V2 @8 S& k! h4 @0 @3 @1 y
login
qwe
zxc  _9 F5 M% j# ~" D# l, c- h7 q2 I
asd3 A9 x) J* w4 t/ I9 P
qaz
win2000  B$ i8 \- a6 V* @
winnt- |$ [2 R" N/ A& c, K3 T
winxp
win2k
win98; W+ D. Q; ]  i1 `, E
windows9 `0 X& u  h5 D2 _
oeminstall
oem4 `, [5 O1 a4 }$ z- }
accounting; z& |* Y5 I2 P( S7 c, o
accounts
letmein  o" K3 O5 ?$ m' T4 o$ [+ S
sex
outlook
mail
qwerty% m" o6 y  l" v  _# A
temp123$ L! r8 y6 A- Q% {9 e% S/ h
temp% \& }) q& b9 P0 g# o
null
default: q+ I" ]7 c5 @. S0 O( u
changeme* ]! H( J7 w7 E
demo/ g/ r! n; G- b2 M! H
test
secret% d4 |* v9 J# m
payday
deadline
work6 ]) j6 v9 e( f  _
pwd0 P$ U. L! i3 }' m$ g$ {/ ^( J$ J
pass2 {5 M. W5 O6 N! Q
pass12341 g, ^) _: v# \9 J
dba7 ^1 D; n" a+ w0 L; Z3 o0 p. Z0 T/ k
passwd: ]1 s# {/ Y7 D# i0 B) S
password
password1
abc
staff
teacher
owner
student& q8 L& I) Y9 `
intranet
lan6 n6 D3 y, T0 \+ g6 P$ O9 C
main: I+ |: X, N5 i* A( l5 g- g
office
control
siemens7 B) U/ m. J6 K/ }$ W+ [, p! [
compaq$ l# c5 {- k! i1 s* D) s) `
dell
cisco3 d- _7 h, {  K9 h4 W
ibm. v( O5 \0 G3 Q0 a0 ^
oracle
sql- p' [9 T4 k- i3 R% R* j3 v( F+ D
data
access- x2 J1 m4 N8 ]) _3 Y  t7 \! e+ m
database3 o9 c- |, _7 o
domain
god: K1 u8 z3 C5 u" V0 t
backup
technical
mary' y# L/ N6 A( H0 b5 ]
katie
kate; S0 |/ }# b0 R& ]9 V+ ?
george2 M3 ]& z! @- W
eric0 R1 o2 j8 t3 }; D
none# @! [3 R  G& d& R& M0 C0 P
guest
chris" L! O! _" P5 I! B6 R
ian1 H. l* q1 Z. c9 H5 l
neil% B0 e5 P$ f, ^  z+ `& ^# I
lee
brian
susan
sue0 ~; |! G! W* P+ U* g) w5 }) u$ k
sam9 Y! ]4 t! k4 J( i
luke
peter: k5 n& N  K0 r; r5 ^; s
john
mike
bill
fred% F) d+ K/ J% {' A6 K' q, i
joe' A8 [9 K7 o* W4 ^
jen
bob
wwwadmin
oemuser/ D/ C5 V5 I2 F& K' U$ q: r
user
homeuser
home! B( q! i6 y" t6 |
internet& R: j" G8 f; J1 h, J# Q. ]
www
web
root
server
linux/ H9 \* [2 n- W+ z. ~; ^, \$ F: L6 A
unix; `5 q$ N; W- `+ b6 O2 ]
computer8 q5 A# c/ c4 M) O  R1 E- g
adm
admin
admins
administrat1 c1 ?4 N( y( I6 ^8 E
administrateur! m# h% u( R( i; p1 q
administrador
administrator
5.打开系统后门，允许远程攻击者控制用户计算机，包括：  g* O: W2 \+ Z: p
收集系统信息" x# s) S) A4 n6 V1 B
扫描局域网机器并传播
下载和运行指定程序
运行http/ftp服务) R3 i. `$ Q4 s. g& j' S
升级病毒文件% ?- h9 C8 S3 \/ r
盗取软件密码( _1 n9 V7 P. e# d4 `, F
6.尝试利用以下漏洞，及自身的弱密码攻击网络共享和SQL服务器：
SMB(MS03-024)( v1 f+ V! R' W: P) @1 ^$ i
SRVSVC(MS06-040)& Y9 I* q" S: P& i3 h+ a6 A
RPC-DOM(MS06-012)1 L. T6 W6 \$ K. Q; p
* H% S" j, [. F3 K6 K" B
解决方案：
该病毒集黑客工具、木马、后门、蠕虫病毒的行为于一体，中毒后，将对系统和局域网带来严重影响。发现此病毒入侵，应立即尝试修改系统管理员口令，避免使用弱密码。修改口令的方法见：新手必读系列的《杀毒需要了解的基本功》7楼。

使用金山清理专家全面检测系统漏洞，并尝试修复。
3 ~( Z) Q$ G8 e7 t4 c) V" S
该病毒的手工删除很简单，只需要删除这个文件%system%\winamp.exe，再用金山清理专家2.1,使用系统修复，把这一项目的引用修复即可。

收藏分享评分

提问请注意详细描述现象、操作过程，如果是病毒报告，应说明病毒名，染毒文件路径、文件名等，什么现象都不描述只发一个日志的帖子将被直接删除。
系统还原是中毒后恢复最节约成本的好工具，新手请不要随意禁止系统还原

请新会员关注新手杀毒教程

杀毒软件打不开，安全模式蓝屏，没完没了弹广告，用急救箱轻松搞定

回复引用

订阅 TOP