斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序(“獸門”變種)Backdoor.Win32.Beastdoor.pa

后門程序(“獸門”變種)

Backdoor.Win32.Beastdoor.pa

捕獲時間

2011-09-22

危害等級



病毒癥狀

  該樣本是使用“Borland Delphi”編寫的后門程序,由微點主動防御軟件自動捕獲,長度為“30,869 字節”,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的為設立后門,使用戶電腦淪為傀儡主機。
  用戶中毒后,可能會出現計算機網絡連接異常,重要文件丟失,系統及網絡緩慢、程序無故關閉等導致用戶隱私泄露及影響用戶使用的現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Backdoor.Win32.Beastdoor.pa”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1、手動刪除以下文件:

%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf

2、手動刪除以下注冊表項:

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath  %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱:COM Service
數據:SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱:COM Service
數據:SystemRoot%\msagent\msoesb.com

變量聲明:

%SystemDriver%         系統所在分區,通常為“C:\”
%SystemRoot%          系統所在目錄,通常為“C:\Windows”
%Documents and Settings%    用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%             臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%         系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

1、病毒運行后,首先會查找是否有名稱為“Beasty”的窗口運行,如果存在,退出自身進程,用于判斷病毒是否重復運行;
2、獲取自身進程,提高自身進程權限,通過注冊表項HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion獲取本地計算機的用戶名,計算機名,服務進程等信息;
3、查找系統目錄%SystemRoot%\system32是否存在名稱為sys.msd、sys.mss等名稱的文件,如果沒有找到,會將自身復制到%SystemRoot%目錄下并重命名為svchost.exe,以偽造正常系統文件,并修改文件屬性為系統屬性,時間設置為系統創建時間;
4、將自身文件分別復制為%SystemRoot%\system32\mstidl.com和%SystemRoot%\msagent\msoesb.com,并修改文件屬性為系統屬性,時間設置為系統創建時間;
5、比較自身進程路徑是否為自身創建的三個文件中的一個,如果不是,會創建進程運行%SystemRoot%\svchost.exe,然后調用命令行刪除自身文件;
6、svchost.exe運行后,會創建名稱為“Beasty”的窗口類,然后創建新線程;
7、線程函數中,查找%SystemRoot%\system32目錄下是否存在mslg.blf文件,如果不存在則創建該文件,并設置文件屬性為系統屬性,后門程序將獲取的用戶信息保存到該文件中;
8、獲取本地時間日期,創建套接字通訊,開放本地6666端口為監聽狀態,這樣用戶服務端程序就開啟了,黑客可以對被感染的主機進行文件管理,進程控制,屏幕監視,鍵盤記錄等多種操作,用戶主機倫為傀儡;

病毒創建文件:

%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf

病毒刪除文件:

病毒文件自身

病毒創建注冊表:

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath  %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱:COM Service
數據:SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱:COM Service
數據:SystemRoot%\msagent\msoesb.com

相關主題:
沒有相關主題

免費試用
下  載
安裝演示