首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.Inject.zt

后門程序

Backdoor.Win32.Inject.zt

捕獲時間

2013-04-09

危害等級



病毒癥狀

    該樣本是使用“C/C ”編寫的“后門程序”,由微點主動防御軟件自動捕獲,采用“UPX”加殼,企圖避過殺軟掃描,加殼后長度為“12,800”字節,圖標為
,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是控制用戶系統。用戶中毒后,會出現網絡運行緩慢,網絡端口開啟,運行未知進程等現象。


感染對象


Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7


傳播途徑

文件捆綁、網頁掛馬、下載器下載


防范措施

      已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現未知間諜軟件,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)








      如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現后門程序"Backdoor.Win32.Inject.zt",請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒







未安裝微點主動防御軟件的手動解決辦法:

1.手動停止并刪除服務"RemoteStorage"

2.手動刪除文件
"%SystemRoot%\system32\sample.exe"
"%SystemRoot%\system32\msapi32.dll"

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”



病毒分析:

1.判斷自身是否在系統目錄,不是則將自身拷貝到系統目錄,如"C:\WINDOWS\system32\sample.exe"。

2.連接服務控制管理器,創建名字為"RemoteStorage"的服務,顯示名稱為"Network Connections Management",啟動類型為自動,執行映像指向"C:\WINDOWS\system32\sample.exe",之后啟動此服務,設置服務描述信息為"Network Connections Management"。

3.創建新進程執行"C:\WINDOWS\system32\cmd.exe /c  del 病毒主程序 > nul"將自身刪除。

服務"RemoteStorage"啟動之后:

4.獲取系統目錄,創建文件"C:\WINDOWS\system32\msapi32.dll",寫入病毒數據。

5.創建新進程"iexplore.exe",將文件"C:\WINDOWS\system32\msapi32.dll"注入該進程地址空間并執行。

文件"msapi32.dll"加載執行之后:

6.創建名字為"MMMMMMMMMM"的互斥對象,防止重復執行。

7.解密網址"wu**r002.3322.org",連接到該主機,并從該主機接收控制命令,執行其他惡意操作。

8.惡意操作包括創建大量線程,對其他主機發動洪水攻擊、下載其他病毒文件執行、卸載自身服務等。






病毒創建文件:

"%SystemRoot%\system32\sample.exe"
"%SystemRoot%\system32\msapi32.dll"


病毒刪除文件:

病毒主程序

病毒訪問網絡:

"wu**r002.3322.org"
 

免費試用
下  載
安裝演示

为什么红黑一压大必输