Backdoor/IRC.RpcBot是一些批處理檔案、腳本檔案和執行檔案的集合，也是一種黑客工具，這些檔案的名稱是可以變化的。
基本介紹
- 中文名：Backdoor/IRC.RpcBot
- 類別：病毒
- 威脅級別：一星
- 類型：木馬
基本信息,行為分析,
基本信息
Backdoor/IRC.RpcBot
病毒長度：變長
病毒類型：木馬
危害等級：*
影響平台：Win9X/2000/XP/NT/Me
Backdoor/IRC.RpcBot通過 DCOM RPC 漏洞傳播自身，木馬作者可以完全控計算機。
行為分析
1.創建資料夾C:\RECYCLER\S-1-5-21-57989841-1715567821-725345543-1004\LOGS，並在其下複製為Bot.rar。
2.將WinOLE.exe(mIRC客戶端程式補丁)作為一項服務運行，並通過註冊表HKEY_LOCAL_MACHIN\Software\Classes掛鈎於IRC擴展名的檔案，達到一開始運行聊天工具便調用WinOLE.exe檔案的目的。
3.運行下列檔案：
Dhcpp.exe --- TFTP服務
Nctl.exe --- FTP服務
Eeents.exe --- IRC代理服務
4.修改註冊表：
/設註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\TFTPD32
下的鍵值為：
"BaseDirectory"="C:\RECYCLER\S-1-5-21-57989841-1715567821-725345543-1004\LOGS"
"TftpPort"="00000045"
"Hide"="00000001"
"WinSize"="00000000"
"Negociate"="00000000"
"DirText"="00000000"
"ShowProgressBar"="00000000"
"Timeout"="00000003"
"MaxRetransmit"="00000006"
"SecurityLevel"="00000000"
"UnixStrings"="00000000"
"LocalIP"=""
"Beep"="00000000"
"VirtualRoot"="00000000"
"Services"="00000003"
"TftpLogFile"=""
"SaveSyslogFile"=""
/設註冊表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters
下的鍵值為："DisableWebDAV"="00000001"
/設註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole
下的鍵值為：
"EnableDCOM"="N"
"EnableRemoteConnect"="N"
4.連線特定的IRC伺服器並加入一個頻道，在此監聽木馬作者發出的指令。利用DCOM RPC漏洞，通過連線隨機產生的IP位址找到目標計算機進行監聽其TCP 連線埠135，一旦成功它便開始向目標計算機傳輸數據，並創建資料夾C:\RECYCLER\S-1-5-21-57989841-1715567821-725345543-1004\LOGS ,然後在此目錄下利用TFTP引入木馬組件bot.rar,unrar.bat和unrar.exe，並運行木馬自身。
