基本介紹
- 中文名：蠕蟲病毒Win32.Duiskbot.AG
- 病毒屬性：蠕蟲病毒
- 危害性：中等危害
- 流行程度：中
基本信息,病毒特性,感染方式,傳播方式,危害,清除方法,
基本信息
其它名稱：Trojan-PSW.Win32.Nilage.bcd (Kaspersky), W32.Randex.GEL (Symantec), W32/Vanebot-Z (Sophos)
病毒屬性：蠕蟲病毒
危害性：中等危害
流行程度：中
病毒特性
感染方式
運行時，Win32/Duiskbot.AG複製到%System%\dllcache\rschost.exe，這個檔案是唯讀的隱含檔案，並作為一個服務註冊這個檔案，為了在每次系統啟動時運行病毒：
Service name: Microsoft Agent
Display name: Microsoft Agent
Description: Enable Microsoft Agent Service.
註：'%System%'是一個可變的路徑。病毒通過查詢作業系統來決定當前系統資料夾的位置。Windows 2000 and NT默認的系統安裝路徑是C:\Winnt\System32； 95，98 和 ME 的是C:\Windows\System； XP 的是C:\Windows\System32。
它嘗試刪除原始的副本，如果失敗就會在系統重啟時立即刪除。
傳播方式
通過漏洞傳播
為了傳播，蠕蟲在某些連線埠探測潛在的機器。它通過IRC控制的後門接受命令。蠕蟲可能嘗試通過以下進行傳播：
§ MS SQL (TCP 1433連線埠) - 針對"sa", "root" 或 "admin" 帳戶通過弱口令攻擊
§ Microsoft Windows Server service buffer overflow vulnerability (TCP 139連線埠)。
請到以下站點下載相關的系統補丁：
http://www.microsoft.com/china/technet/security/Bulletin/MS06-040.mspx
Duiskbot.AG嘗試使用以下弱口令：
00000000
0000000
000000
00000
0000
000
00
12
123
1234
12345
123456
1234567
12345678
123456789
abc123
access
adm
admin
alpha
anon
anonymous
asdfgh
backdoor
backup
beta
bin
coffee
computer
crew
database
debug
default
demo
free
go
guest
hello
install
internet
login
mail
manager
money
monitor
network
newpass
nick
nobody
nopass
one
oracle
pass
passwd
password
poiuytre
private
pub
public
qwerty
random
real
remote
root
ruler
secret
secure
security
server
setup
shadow
shit
sql
super
sys
system
telnet
temp
test
test1
test2
visitor
web
windows
www
默認的操作是探查系統，以被感染機器的IP位址前兩位開始，第三位元組和第四位元組依次測試所有值。蠕蟲的控制者還會指定其它的IP位址範圍。
如果攻擊成功，Duiskbot.AG嘗試執行以下操作：
使存在漏洞系統的反病毒軟體的服務失效（包括Norton, McAfee 和 Panda）；
將代碼寫入C:\1.vbs檔案，運行代碼，隨後刪除這個檔案。這個代碼從HTTP伺服器下載一個Duiskbot.AG 病毒副本，並在原始的被感染系統上運行，隨後運行這個下載的檔案；
如果上一步沒有成功，就會將一些FTP命令寫入%System%\x檔案，使用FTP 運行這些命令（從一個FTP伺服器下載一個Duiskbot.AG 病毒副本在原始的被感染系統上運行），隨後運行下載的檔案並刪除%System%\x檔案。
通過Instant Messenger傳播
Duiskbot.AG可能被指示通過即時訊息客戶端（例如Yahoo! Messenger，MSN Messenger，ICQ 或 AOL Instant Messenger）進行傳播。如果被指令，Duiskbot.AG就會傳送信息連線到一個惡意的連結。通過一個HTTP伺服器，Duiskbot.AG可能回應一個HTML頁面。當存在漏洞的機器使用Internet Explorer瀏覽一個惡意頁面的時候，蠕蟲的副本將從攻擊主機下載到存在漏洞的機器上，並運行它。
危害
後門功能
Duiskbot.AG包含後門功能，允許未經授權的訪問並控制被感染的機器。它通過IRC被控制，在3921連線埠連線到kok.askum.net伺服器。
利用這個後門，攻擊者可能執行以下操作：
命令
操作
reconnect 從IRC server 斷開後再連線。
join 加入另一個IRC channel。
part 離開特定的IRC channel。
remove 從系統刪除Duiskbot的服務和檔案。
nickupd 生成一個新的nickname。
scan 開始掃描網路尋找存在漏洞的系統來分發病毒。
scanstop 停止掃描存在漏洞的系統。
pstore 從被保護的存儲區獲取信息。
downlow 下載（並隨意運行）一個任意檔案，保存到特定的位置。
upd 下載並運行Duiskbot 的一個新版本，並刪除當前版本。
sniffer 捕獲TCP 通信量並嘗試記錄FTP 密碼和其它信息。
httpstop 停止執行一個HTTP拒絕服務攻擊。
httpdos 執行一個HTTP拒絕服務攻擊。
syn 執行一個SYN拒絕服務攻擊。
synstop 停止執行一個SYN拒絕服務攻擊。
kill 從IRC伺服器斷開並退出。
socks4 啟動一個SOCKS 4 代理。
imspread 嘗試通過即時訊息傳播。
imstop 停止嘗試通過即時訊息傳播。
運行Web和FTP伺服器
Duiskbot.AG在被感染機器上的任意一個連線埠運行一個Web伺服器和一個FTP伺服器。攻擊系統可能從這些伺服器下載蠕蟲的副本。
清除方法
KILL安全胄甲Vet 30.3.3267版本可檢測並清除此病毒。
