Backdoor/IRC.RpcBot是一些批處理檔案、腳本檔案和執行檔案的集合，也是一種黑客工具，這些檔案的名稱是可以變化的。
基本介紹
- 中文名：Backdoor/IRC.RpcBot
- 類別：病毒
- 威脅級別：一星
- 類型：木馬
- 病毒長度：變長
- 影響平台：Win9X/2000/XP/NT/Me
行為分析
Backdoor/IRC.RpcBot通過 DCOM RPC 漏洞傳播自身，木馬作者可以完全控計算機。
1.創建資料夾C:\RECYCLER\S-1-5-21-57989841-1715567821-725345543-1004\LOGS，並在其下複製為Bot.rar。
2.將WinOLE.exe(mIRC客戶端程式補丁)作為一項服務運行，並通過註冊表HKEY_LOCAL_MACHIN\Software\Classes掛鈎於IRC擴展名的檔案，達到一開始運行聊天工具便調用WinOLE.exe檔案的目的。
3.運行下列檔案：
Dhcpp.exe --- TFTP服務
Nctl.exe --- FTP服務
Eeents.exe --- IRC代理服務
4.修改註冊表：
/設註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\TFTPD32
下的鍵值為：
"BaseDirectory"="C:\RECYCLER\S-1-5-21-57989841-1715567821-725345543-1004\LOGS"
"TftpPort"="00000045"
"Hide"="00000001"
"WinSize"="00000000"
"Negociate"="00000000"
"DirText"="00000000"
"ShowProgressBar"="00000000"
"Timeout"="00000003"
"MaxRetransmit"="00000006"
"SecurityLevel"="00000000"
"UnixStrings"="00000000"
"LocalIP"=""
"Beep"="00000000"
"VirtualRoot"="00000000"
"Services"="00000003"
"TftpLogFile"=""
"SaveSyslogFile"=""
/設註冊表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters
下的鍵值為："DisableWebDAV"="00000001"
/設註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole
下的鍵值為：
