主题 : 5月29日病毒预报--后门程序Backdoor.Win32.Ceckno.nt
喝水都长膘
级别: 正式版主

显示用户信息
0  发表于: 2008-05-28 21:43

5月29日病毒预报--后门程序Backdoor.Win32.Ceckno.nt

病毒名称
Backdoor.Win32.Ceckno.nt
捕获时间
2008-05-28
病毒摘要
    该样本是使用VC编写的后门程序,由微点主动防御软件自动捕获,采用FSG加壳方式试图躲避特征码扫描,加壳后长度为6,545字节,图标为

,样本扩展名为.exe,主要以网页木马、文件捆绑的方式传播,病毒主要被黑客种植于“肉鸡”作为后门使用。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑
安全提示
  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1);

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现" Backdoor.Win32.Ceckno.nt”,请直接选择删除(如图2)。

  对于未使用微点主动防御软件的用户,微点反病毒专家建议
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放,具体操作步骤:开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。


病毒分析
  该样本程序被激活后,拷贝自身到%SystemRoot%目录下,如果扩展名不为.exe或.EXE,则添加扩展名为.exe;判断服务AutoRemote是否存在,如果不存在调用SCM写注册表,将样本拷贝注册成名为AutoRemote的服务,使用相关API函数启动被注册的服务;
  Quote:
项:HKLM\SYSTEM\CurrentControlSet\Services\AutoRemote\
健值:DisplayName
指向数据:Remote Connection Access Auto Manager
健值:ImagePath
指向数据:%SystemRoot%\样本.exe"
健值:Description
指向数据:控制远程协助。如果此服务被终止,远程协助将不可用。终止此服务前,请参见“属性”对话框上的“依存”选项卡。
将%SystemRoot%\样本.exe名字写入到系统防火墙授权列表中,使%SystemRoot%\样本.exe访问网络时被系统防火墙自动放行;
  Quote:
HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
健值:%SystemRoot%\样本.exe
指向数据:%SystemRoot%\样本.exe:*:Enabled:Microsoft (R) Internetal IExplore
以命令行的方式将病毒原文件删除;
  服务主程序运行后,使用相关API函数获取域名epzzh.3322.org的IP地址,并使用特定的端口号与黑客客户端进行反向连接,连接成功后使被入侵系统沦为傀儡主机接受黑客命令执行相应操作,命令如下:
a.“ATTACK”:如果被入侵系统服务端接受的是该命令,则用函数CreateThread建立线程,对指定的计算机实行攻击
b.“STOPATTACK”:如果被入侵系统服务端接受的是该命令,则停止攻击。
c.“DOWNLOAD”:如果被入侵系统服务端接受的是该命令,则使用API函数URLDownloadToFileA将命令中指定程序下载到本地%SystemRoot%\system32目录下,命名为win%ddows.exe(%d为随机数和时间计算出来的数字),之后用API函数WinExec运行win%ddows.exe。
d.“REMOVE”:如果被入侵系统服务端接受的是该命令,则使用API函数OpenSCManagerA打开系统服务管理器,用相关API函数关闭服务AutoRemote,接着用API函数DeleteService将该服务删除,之后服务进程退出。











级别: 新人出动
显示用户信息
1  发表于: 2009-10-03 17:29

发样本的区吗