原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
WORMRODOKA及其后门程序.doc
WORM_RODOK.A及其后门程序
病毒技术细节及清除解决方案
WORM_RODOK.A病毒技术细节：
通过网络传播： 是 发现日期： 2002/10/08 11:03:43 PM GMT -0800 可检测日期： 2002/10/08 11:33:41 PM GMT -0800 可检测版本： 病毒码 364及以上
引擎5.2及以上 语言： English 平台： Windows 是否加密： 否 病毒大小： 53,248字节
详细描述：
该病毒用Visual Basic 6.0编写，通过MSN Messenger进行传播。
执行该病毒程序后，会显示包含下列字符串的窗口：
Generate Quit
注册表设置：
该病毒会检查注册表，加入如下关键字：
HKEY_CURRENT_USER\Software\Valve\CounterStrike\ Settings\Key
HKEY_CURRENT_USER\Software\Valve\Half-Life\ Settings\Key
传播方式：
该蠕虫病毒会打开MSN Messenger并发送如下信息：
Hey!! Could you please check out this program for me? :) I made it myself and want people to test it. Its a readme with the program that explains what it does! http://home.blocked.net/downl0ad/BR2002.exe -- There you can download it! give me advices on what to upgrade please!!?/p
然后该病毒会自动检查自己的是否存在升级版本，此时会显示如下信息：
hello Updating...
它会自动连接到该网址（http://home.blocked.net/downl0ad/Update.exe ）进行升级，并将文件保存在：C:\ update35784.exe.
后门程序：
该蠕虫病毒会从下列网址下载该文件
http://home.blocked.net/downl0ad/CS-Keygen.exe
然后将其保存在：
C:\ hehe2397824.exe
同时，该病毒会在Windows目录创建文件名为“WinUpdat.exeupdate.ur.address”的文件，并在注册表中添加如下键值使系统启动时自动运行该文件：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run WinUpdat = C:\WINDOWS\WinUpdat.exeupdate.ur.address
趋势科技防毒软件（最新病毒码引擎）可以检测出WinUpdat.exeupdate.ur.address hehe2397824.exe两个文件感染了BKDR_EVILBOT.A病毒。
其它：
该蠕虫病毒会以随机的进程名称在后台运行，在该进程中可以发现如下文字：
I have loaded the ur CDKEY Generator 1.3!
Worm_Rodok.A及其后门程序清除方案
Worm_Rodok.A
别名：Henpeck
描述：
这个蠕虫病毒通过MSN来传播，它通过连接一个URL来更新自身。他同时也生成和执行一个后门程序： BKDR_EVILBOT.A (请看后面描述)
解决方案：
自动清除操作方法
1．趋势产品用户下载TSC 手动运行或者部署到趋势产品上来有效清除病毒。
部署方法：将相关文件解压缩到产品目录下，覆盖原有的文件。
例如：对于OfficeScan 5.02, 默认目录是C:\OfficeScanNT.
在PC-cillin 2002, 默认目录是C:\Program Files\Trend Micro\PC-cillin 2002.
企业大规模部署请看TSC下相关文档。
2．非趋势产品用户下载Trend Micro System Cleaner Package来清除。
注意：使用前读说明文档。
手动清除方法
识别病毒体：
清除之前先识别出病毒程序。
用趋势产品扫描你的系统，注意所有检测到感染WORM_RODOK.A的文件。你要保证使用最新的病毒码来扫描。其他用户可用趋势的在线扫描
终止恶意程序：
终止病毒在内存中的进程。这时需要知道你先前一步检测出来的病毒文件名。
打开windows任务管理器,
在Windows 9x/ME 上，按CTRL+ALT+DELET
文档评论（0）