Worm.Win32_Rbot-ZP

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Rbot-ZP tente d'exploiter les failles suivantes : RPC-DCOM (MS04-12) et LSASS (MS04-11).

Rbot-ZP peut recevoir d'un attaquant distant des commandes lui permettant de supprimer des partages réseau, enregistrer des frappes de touches, participer à des attaques par déni de service distribué (DdoS), contrôler d'autres ordinateurs et y rechercher les failles et créer des comptes administrateur.

Lorsqu'il est exécuté, Rbot-ZP se copie dans le répertoire %System% sous le nom de "MSMSN32.EXE" et crée dans le registre les entrées suivantes pour se lancer automatiquement lors d'une ouverture de session :

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft Messenger XP
MSMSN32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
Microsoft Messenger XP
MSMSN32.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Microsoft Messenger XP
MSMSN32.exe

Note: '%System%' est une variable de localisation. Rbot-ZP détermine le chemin du répertoire du système en effectuant une requête au système d'exploitation. Le répertoire System par défaut pour Windows 2000 et NT est C:\Winnt\System32; pour 95,98 et ME est C:\Windows\System; et pour XP est C:\Windows\System32.