首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.PcClient.lfb

后門程序

Backdoor.Win32.PcClient.lfb

捕獲時間

2010-12-29

危害等級



病毒癥狀

  該樣本是使用“C/C ”編寫的后門程序,由微點主動防御軟件自動捕獲,采用“ChinaProtect”加殼方式試圖躲避特征碼掃描,加殼后長度為“33,328”字節,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的是控制用戶機器。
  用戶中毒后,會出現端口自動開放,重要資料泄露等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜”,請直接選擇刪除處理(如圖1)

 

圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Backdoor.Win32.PcClient.lfb”,請直接選擇刪除(如圖2)。

 

圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.停止顯示名稱為“WinHelp64 Help System”的服務項
2.刪除文件%SystemRoot%\system32\WinHelp32.exe
3.刪除以下注冊表項:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp64
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinHelp64

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

(1)病毒獲取系統路徑
(2)成功后讀取自身資源,釋放程序%SystemRoot%\system32\WinHelp32.exe
(3)病毒啟動%SystemRoot%\system32\WinHelp32.exe,完成后調用命令行刪除病毒自身。
(4)WinHelp32.exe創建注冊表項,將自身加載為服務項。
(5)服務項名稱為“WinHelp64”,顯示名稱為“WinHelp64 Help System”。對應注冊表位置為:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe
(6)成功后開啟服務項,連接遠程端口,等待黑客進一步指令。

病毒創建文件:

%SystemRoot%\system32\WinHelp32.exe

病毒創建注冊表:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WinHelp64
名稱:ImagePath
數值:C:\WINDOWS\system32\WinHelp32.exe

病毒訪問網絡:

222.186.***.173:5050

免費試用
下  載
安裝演示

为什么红黑一压大必输 股票在线查询 基带传输码型 微信股票群加入 老版本波克棋牌 中国体育彩票排列五开奖结果 本期看图中一肖一特 南京麻将怎么算钱 20选5胆拖投注表 股票交易及竞价规则 神来棋牌骗局 同城游里的美女捕鱼 大富翁7手机版下载 四人麻将规则 分享赚钱项目的博客 意甲排行榜积分榜 长沙麻将技巧十句口