斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.Httpbot.fy

后門程序

Backdoor.Win32.Httpbot.fy

捕獲時間

2013-02-21

危害等級



病毒癥狀

 該樣本是使用“C/C ”編寫的“后門程序”,由微點主動防御軟件自動捕獲,采用“UPX”加殼,企圖避過殺軟掃描,加殼后長度為“21,504”字節,圖標為
,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是控制用戶系統。用戶中毒后,會出現網絡運行緩慢,網絡端口開啟,運行未知進程等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現未知間諜軟件,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)







如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現后門程序"Backdoor.Win32.Httpbot.fy",請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒







未安裝微點主動防御軟件的手動解決辦法:

1.手動結束病毒進程"svchost.exe"

2.手動停止并刪除服務"dyjt"

3.手動刪除文件
"%SystemRoot%\system32\dyjt.exe"


變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1.獲取系統目錄,將自身拷貝重命名為"C:\WINDOWS\system32\dyjt.exe",并設置文件屬性為系統、隱藏。
2.創建新進程執行"C:\WINDOWS\system32\dyjt.exe"。
3.創建新進程執行"C:\WINDOWS\system32\cmd.exe /C del  病毒主程序 > nul"將病毒主程序刪除。
4."C:\WINDOWS\system32\dyjt.exe"執行之后,連接服務控制管理器,創建名字為"dyjt"的服務,顯示名稱為"dyjt Service",啟動類型為自動,執行映像指向"C:\WINDOWS\system32\dyjt.exe",之后啟動此服務,并設置描述信息為"dyjt server for firewall test"。
5.服務"dyjt"啟動之后,以掛起的方式執行"C:\WINDOWS\system32\svchost.exe",將自身注入到該進程地址空間并執行。
6.病毒以"svchost.exe"為宿主執行之后,將自身句柄拷貝到進程"system"中,防止文件被刪除。
7.每隔10秒鐘,開辟新線程:
(1)解密網址"pks.**2012.us:3012",創建套接字,連接該地址,獲取本地處理器類型、操作系統版本、內存使用狀況、默認使用語言等信息發送到該主機,并從該主機接收控制命令,執行其他惡意操作。
(2)惡意操作包括關閉重啟當前系統、卸載自身服務、下載其他病毒文件執行、對其他主機發動洪水攻擊等。


病毒創建文件:

"%SystemRoot%\system32\dyjt.exe"

病毒刪除文件:

病毒主程序

病毒訪問網絡:

"pks.**2012.us:3012"

免費試用
下  載
安裝演示