Exploit.JPEG

該病毒利用MS04-028的GDI+漏洞，如果用戶機器沒有打相應補丁，並使用資源管理器瀏覽了該檔案，可能導致用戶機器從連線木馬種植者指定的FTP地址，並從該FTP下載木馬檔案，並運行這些木馬，以達到遠程監控感染機器目的

基本介紹

• 中文名：Exploit.JPEG
• 病毒別名：Exploit.Win32.MS04-028.gen
• 威脅級別：★★
• 病毒類型：未知

病毒別名：Exploit.Win32.MS04-028.gen[AVP]

處理時間：

威脅級別：★★

中文名稱：

病毒類型：未知

影響系統：未打MS04-028補丁的英文版WinXP SP1

1、當用戶通過資源管理器瀏覽該檔案後，病毒會利用GDI+漏洞，嘗試溢出執行下載命令。如果溢出失敗，則會導致資源管理器崩潰

2、如果溢出成功，則病毒嘗試從以下FTP上下載遠程控制檔案

ftp://2××.1××.4×.2×/www/system/

檔案包括：

檔案名稱 大小

AdmDll.dll 90112

Fport.exe 114688

ServUStartUpLog.txt 663

VNCHooks.dll 32768

WinRun.dll 1407

WinRun.exe 811008

driver.log 1268

drives.exe 24576

execute.bat 150

filter3.ocx 0

irc-u.cfg 1052

irc-u.dat 0

irc-u.debug.log 16802

irc-u.dll 102400

kill.exe 26624

nc.exe 59392

nvsvc.exe 241664

nvsvc32.dll 36864

omnithread_rt.dll 45056

peek.exe 34304

raddrv.dll 29408

radmin.reg 713

rcrypt.exe 26112

reg.exe 40960

uptime.exe 6656

vns.exe 208896

3、運行execute.bat 檔案，通過Radmin遠程管理工具，建立後門，連線埠為10002。

4、會建立一個IRC連線，連線到#FurQ頻道。