斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

Rootkit程序Rookit.Win32.Agent.a

Rootkit程序

Rootkit.Win32.Agent.a

捕獲時間

2010-9-02

危害等級



病毒癥狀

   該樣本是使用“C ”編寫的后門程序,由微點主動防御軟件自動捕獲,長度為“38,400 字節”,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的為設立后門,使用戶電腦淪為傀儡主機。
  用戶中毒后,可能會出現計算機無故重啟、關閉,重要文件丟失,系統及網絡緩慢、程序無故關閉、出現各類病毒等導致用戶隱私泄露及影響用戶使用的現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)

 

圖1 微點主動防御軟件自動捕獲未知病毒(未升級)




如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Rootkit.Win32.Agent.a”,請直接選擇刪除(如圖2)。

 

圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

手動刪除以下文件:

%SystemRoot%\system32\WinHelp32.exe

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

1、病毒比較自己是否已經注入svchost.exe進程,如果注入成功,則創建互斥體,進入網絡連接狀態;
如果不成功,會在%SystemRoot%\system32下釋放驅動文件pcidump.sys;
2、病毒打開服務管理器,創建“pcidump”的服務,加載pcidump.sys驅動,結束殺軟進程,關閉windows文件?;?;
3、將自身復制到%SystemRoot%\system32\文件夾下,并且重命名為WinHelp32.exe;
4、WinHelp32.exe比較自身是否在svchost.exe進程,如果不在則將自已注入svchost.exe;
5、查看是否存在c:\Program Files\360\360Safe目錄,如果存在,WinHelp32.exe將自身移動到該文件夾下;
6、創建互斥體GEZDOLRQFYYC4MJ2HAYDAMA=,防止程序二次運行;
5、創建線程鏈接黑客指定網絡,將用戶機器的處理器型號、操作系統版本、操作系統默認語言等信息發送到黑客指定網址,并等待黑客進一步命令;
6、調用cmd命令自刪除。
  
病毒創建文件:
  
%SystemRoot%\system32\WinHelp32.exe
 
病毒訪問網絡:
  
1239991391.***.org
220.***.252.177

免費試用
下  載
安裝演示