斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.PcClient.lfb

后門程序

Backdoor.Win32.PcClient.lfb

捕獲時間

2010-12-29

危害等級



病毒癥狀

  該樣本是使用“C/C ”編寫的后門程序,由微點主動防御軟件自動捕獲,采用“ChinaProtect”加殼方式試圖躲避特征碼掃描,加殼后長度為“33,328”字節,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的是控制用戶機器。
  用戶中毒后,會出現端口自動開放,重要資料泄露等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜”,請直接選擇刪除處理(如圖1)

 

圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Backdoor.Win32.PcClient.lfb”,請直接選擇刪除(如圖2)。

 

圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.停止顯示名稱為“WinHelp64 Help System”的服務項
2.刪除文件%SystemRoot%\system32\WinHelp32.exe
3.刪除以下注冊表項:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp64
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinHelp64

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

(1)病毒獲取系統路徑
(2)成功后讀取自身資源,釋放程序%SystemRoot%\system32\WinHelp32.exe
(3)病毒啟動%SystemRoot%\system32\WinHelp32.exe,完成后調用命令行刪除病毒自身。
(4)WinHelp32.exe創建注冊表項,將自身加載為服務項。
(5)服務項名稱為“WinHelp64”,顯示名稱為“WinHelp64 Help System”。對應注冊表位置為:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe
(6)成功后開啟服務項,連接遠程端口,等待黑客進一步指令。

病毒創建文件:

%SystemRoot%\system32\WinHelp32.exe

病毒創建注冊表:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe

病毒訪問網絡:

222.186.***.173:5050

免費試用
下  載
安裝演示