W32/Rbot-LL

Veuillez suivre les instructions de suppression des vers.

W32/Rbot-LL est un membre de la famille de vers W32/Rbot avec des fonctionnalités de cheval de Troie de porte dérobée pour la plate-forme Windows.

W32/Rbot-LL se propage en utilisant de nombreuses techniques telles que l'exploitation des mots de passe faibles sur les ordinateurs et serveurs SQL et l'exploitation de nombreuses failles de systèmes d'exploitation connues (y compris RPC-DCOM, LSASS, WebDAV, UPnP, DameWare, IIS5SSL).

Pour plus de détails à propos de ces failles, consultez les bulletins correspondants :

MS03-026 et MS04-012
MS04-011
MS03-007
MS01-059
CAN-2003-1030
CAN-2003-0719

Lorqu'il est exécuté, W32/Rbot-LL se copie dans le dossier système Windows sous le nom de fichier rpcxWindows.exe et pour être exécuté automatiquement au démarrage de Windows, modifie les entrées de registre suivantes :

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
\Microsoft Windows Secure Server = "rpcxWindows.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
\Microsoft Windows Secure Server = "rpcxWindows.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\Microsoft Windows Secure Server = "rpcxWindows.exe"

W32/Rbot-LL tente de mettre fin à de nombreuses applications antivirus et de sécurité.

La version 3.85 de Sophos Anti-Virus détecte ce ver comme appartenant à la catégorie W32/Rbot-Fam sans nécessiter de mise à jour.