代号红色2病毒简介_代号红色2病毒个人资料_代号红色2病毒微博_百科网
A-A+

代号红色2病毒简介_代号红色2病毒个人资料_代号红色2病毒微博

2016-12-01 23:15:17 科学百科 阅读 2 次
代号红色2病毒  本站也将为大家提供对此病毒尽量全面的消息。

病毒介绍/代号红色2病毒 编辑



  这是一个蠕虫木马双特型病毒。

  实际上和第一个RED CODE 蠕虫病毒相比,这并不是一个简单的变种,与RED CODE 相比,这个新蠕虫是极度危险的,因为它不是简单的修改主页,而是通过同样的IIS漏洞实现对一个木马文件的上载和运行。但它们使用的攻击方式是基本一样的,所以这样我们也可以用修补预防RED CODE 的方式来预防RED CODE II(参见本站联接)。但是“RED CODE II” 和 RED CODE I来比较,我们可以感觉到杀伤力大的多。

  这个分析被分成3 部分:

  感染

  传播

  特洛伊木马程序

  RED CODE II的攻击原理和最初的RED CODE 一样,所以修复方法和RED CODE I是一样的

  微软公司安全补丁下载页面: http://www.hudong.com/wiki/Http://www.Microsoft.com/
  如果想检查你的机器是否被感染,你可以看看下列文件是不是存在:

  c:\explorer.exe 或 d:\explorer.exe

  你IIS的script 文件夹和文件夹msadc中是否有ROOT.EXE这个文件。

  如果有的话则你很可能是已经被感染了。

注意:/代号红色2病毒 编辑

以前曾有一个叫做 sadmin unicode 的蠕虫,也会吧CMD.EXE文件改名为root.exe ,所以不能只凭是否有ROOT.EXE存在来判断是否已经中毒。

  1、感染

  第一次感染: 首先这个蠕虫会给自己建立一个环境,之后取得本地IP,用来分析子网掩码(将用来传播),并且确认当前系统没有被重复感染。之后判断当前操作系统的语言,是繁体中文还是简体中文。之后判断是否已经被RED CODE感染,如果是的话,这个进程将转入永远休眠。

  之后RED CODE II根据操作系统来增加线程,非中文系统为300条。如果是中文系统那么将打开600条线程。此时它把大量的繁殖线程转入后台,大规模的复制自己。(这些线程被用于向其他IP地址发送GET .IDA漏洞请求,)之后这个它将在系统中安装一个特洛伊木马。

  RED CODE II的潜伏期,如果是非中文操作系统他会潜伏1天,对于中文系统它会潜伏2天。

  2、转播

  用来进一步传播这个蠕虫,这是它会设置一个本地 IP_STORAGE 变量用来储存本地IP,这个变量用于确定机器不会被重复感染。之后获取系统时间,如果当前时间在2002年后,或者月份在10月以后,那么这个蠕虫将重起计算机,这样就将转播可能限制在3个月内。之后蠕虫开始按一定规律生成目标主机IP地址并试图连接一个远程主机,如果能建立连接那么立刻去试图感染对方主机。

  3、特洛伊程序

  蠕虫会有计划的把cmd.exe 以root.exe的名字复制到msadc 和scripts 目录下,更名为root.exe,成为了一个可怕的后门。(cmd.exe是黑客攻击NT时梦寐以求的东西,好比UNIX SHELL)。并且将蠕虫中包含的一段2进制代码拆离成件名为explore.exe的木马到本地的驱动器(c:\和d:\)。

  这个后门,可能会通过修改注册表,把你的c:\,d:\变成iis的虚拟目录。以上两点都是非常可怕的后门。

  4、清除
  请用病毒观察独家提供的查杀工具RedCode 2 KILLER检测清除。

  可以 清除redcode II,修复redcode II造成的安全隐患,并为系统提供一个简单的打补丁,打补丁后无论是redcode还是redcode II,以及其他利用这个漏洞的蠕虫都不能感染你的系统。

  如果您的系统未被感染,提醒您立刻浏览微软中国网站:http://www.microsoft.com,这里有详细的防护方法。