我国发现“斯伯特”（Backdoor_SDBOT）病毒变种

国家计算机病毒应急处理中心于2004年4月5日接到用户报告，该部门遭受病毒感染，造成局域网瘫痪，并发送大量的SYN包。经证实是感染了“斯伯特”（Backdoor_SDBOT）病毒的最新变种。
　　
　　病毒运行后在系统文件夹下生成病毒文件，修改注册表。病毒还通过网络共享进行传播，并允许远程用户的访问。另外，病毒还进行SYN洪水攻击。被感染的用户也都使用了弱口令，给病毒可乘之机。
　　
　　国家计算机病毒应急处理中心在这里提醒广大用户，立即升级杀毒软件和个人防火墙，并启动“实时监控”功能，同时将口令设置的较为复杂，做好病毒的防范工作。

有关该病毒分析报告如下：

病毒名称：“斯伯特”（Backdoor_SDBOT）
病毒类型：后门程序
病毒长度：107,740字节
影响系统：Win 95/98/NT/2000/Me/XP

病毒特征：

1、生成病毒文件
病毒运行后会在系统中生成如下文件:
%System%/WIMMTRE.EXE
（其中，%System%在Windows 95/98/Me 下为C:/Windows/System，在Windows NT/2000下为C:/Winnt/System32，在Windows XP下为 C:/Windows/System32）

2、修改注册表
病毒添加注册表项，使得自身能够在系统启动时自动运行，在
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/ CurrentVersion/Run中添加
Module WinMeter = "wimmtre.exe"

HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run中添加
Module WinMeter = "wimmtre.exe"

HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices 中添加
Module WinMeter = "wimmtre.exe"

3、删除共享
病毒试图删除以下共享
C$
D$
IPC$
ADMIN$

4、通过网络共享传播
　　病毒可以通过网络共享进行传播，它会在下列路径生成病毒文件：
/IPC$/wimmtre.exe
/D$/wimmtre.exe
/print$/wimmtre.exe
/c$/wimmtre.exe
/Admin$/wimmtre.exe
/c$/windows/system32/wimmtre.exe
/c$/winnt/system32/wimmtre.exe
/Admin$/system32/wimmtre.exe

5、后门功能
　　病毒允许远程用户访问被感染机器的文件和其它系统资源，同时还可以进行弱口令攻击，是系统安全受到威胁。另外，病毒还进行SYN洪水攻击。

清除该病毒的一些建议：

1、终止病毒进程
　　在Windows 9x/ME系统，同时按下CTRL+ALT+DELETE，在Windows NT/2000/XP系统中，同时按下CTRL+SHIFT+ESC，选择“任务管理器——〉进程”，选中正在运行的病毒进程，并终止其运行。

2、注册表的恢复
　　点击“开始——〉运行”，输入regedit,运行注册表编辑器，依次双击左侧的HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>RunServices
并删除面板右侧的Module WinMeter = "wimmtre.exe"

3、删除病毒释放的文件
　　点击“开始——〉查找——〉文件和文件夹”，查找文件“wimmtre.exe”，并将找到的文件删除。

4、运行杀毒软件，对系统进行全面的病毒查杀

5、修改弱口令，请用户将口令设置的较为复杂，减少被攻破的可能性

相关链接:
Webmin---Linux下的用户管理工具 http://club.sob8.com/read-htm-tid-40541.html