首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.Small.cfm

后門程序

Backdoor.Win32.Small.cfm

捕獲時間

2011-03-17

危害等級



病毒癥狀

  該樣本是使用“C\C ”編寫的“后門程序”,由微點主動防御軟件自動捕獲, 采用“FSG”加殼方式,企圖躲避特征碼掃描,加殼后長度為“6,249”字節,圖標為“”,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是控制用戶機器。
  用戶計算機感染此木馬病毒后,會出現網絡端口開啟,并且發現未知進程,用戶的資料信息丟失等現象.

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)

 

圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Backdoor.Win32.Small.cfm”,請直接選擇刪除(如圖2)。

 

圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.手動刪除文件
刪除 %SystemRoot%\svchcst.exe
刪除 %Temp%\rs.bat

2.手動刪除注冊表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Run
名稱:MSCONFIG
數據:%SystemRoot%\svchost.exe

3.導入正確的注冊表項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies子項

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1.病毒獲取系統目錄路徑以及病毒自身的相關信息,將"%SystemRoot%\svchcst.exe"文件與病毒自身比較,如果不是,首先將"%SystemRoot%\svchcst.exe"文件刪除,然后將病毒自身拷貝并重新命名為"%SystemRoot%\svchcst.exe",建立"svchcst.exe"相關的進程并運行。
2.病毒繼續獲取臨時文件路徑,在該路徑下建立文件%Temp%\rs.bat,并以隱藏命令行的形式啟動該進程。
3.如果是病毒自己,首先在系統目錄路徑下建立隱藏屬性文件"%SystemRoot%System32\service.bak",并提高當前進程的權限為"SeRestorePrivilege",然后導入該文件的注冊表信息,寫入啟動項。并刪除"%SystemRoot%\System32\service.bak"
4.病毒建立隱藏窗口信息,窗口句柄為“二郎神”,更新數據消息。
5.通過注入svchost.exe進程,用網絡套接字實現網絡連接,將用戶名稱,操作系統版本,內存大小發送到黑客指定網址2**sf.3322.org
6.發送的同時并建立線程函數,線程函數的作用也是繼續實現網絡連接。

病毒創建文件:

%SystemRoot%\svchcst.exe
%Temp%\rs.bat
%SystemRoot%\System32\service.bak

病毒創建注冊表:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Run
名稱:MSCONFIG
數據:%SystemRoot%\svchost.exe

病毒訪問網絡:

27**f.3322.org

免費試用
下  載
安裝演示

今日排列三开奖结果