beplay体育app下载/欧国联含金量高吗/辽宁篮球直播/福彩快乐8走势图一定牛

捕獲時(shí)間

2008-11-10

病毒摘要

該樣本是與“新金瓶梅”BT種子文件捆綁一起的Srat后門，由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲，程序未加殼,文件長(zhǎng)度為“205, 576 字節(jié)”，圖標(biāo)為，使用“exe”擴(kuò)展名，通過(guò)“文件捆綁”途徑植入用戶計(jì)算機(jī)，運(yùn)行后自動(dòng)執(zhí)行釋放后的木馬程序，等待接受黑客特定指令來(lái)控制用戶計(jì)算機(jī)。



感染對(duì)象

Windows 2000/Windows XP/Windows 2003

傳播途徑

網(wǎng)頁(yè)木馬、文件捆綁

防范措施

已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無(wú)須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無(wú)論您是否已經(jīng)升級(jí)到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒(méi)有將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“未知木馬”，請(qǐng)直接選擇刪除處理（如圖1）；

  圖1 主動(dòng)防御自動(dòng)捕獲未知病毒（未升級(jí)）

如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)"Trojan-Dropper.Win32.Srat.a”，請(qǐng)直接選擇刪除（如圖2）。

     
  圖2   升級(jí)后截獲已知病毒

對(duì)于未使用微點(diǎn)主動(dòng)防御軟件的用戶，微點(diǎn)反病毒專家建議：
1、不要在不明站點(diǎn)下載非官方版本的軟件進(jìn)行安裝，避免病毒通過(guò)捆綁的方式進(jìn)入您的系統(tǒng)。
2、盡快將您的殺毒軟件特征庫(kù)升級(jí)到最新版本進(jìn)行查殺，并開(kāi)啟防火墻攔截網(wǎng)絡(luò)異常訪問(wèn)，如依然有異常情況請(qǐng)注意及時(shí)與專業(yè)的安全軟件廠商聯(lián)系獲取技術(shù)支持。
3、開(kāi)啟windows自動(dòng)更新，及時(shí)打好漏洞補(bǔ)丁。

病毒分析

該樣本程序被執(zhí)行后，在當(dāng)前目錄下自解壓釋放出名為“新金瓶梅.torrent”的BT種子文件與“隱藏”屬性的“Trojan.exe”文件，并調(diào)用自解壓腳本實(shí)現(xiàn) “Trojan.exe”木馬程序的調(diào)用。
“Trojan.exe”木馬程序執(zhí)行后，在系統(tǒng)目錄%SystemRoot%\system32\下釋放木馬配置文件“sCgcUrIbj3.del”與“sCgcUrIbj3.ini”，通過(guò)查找窗口字符串“該進(jìn)程文件是安全的”與“360保險(xiǎn)箱-安全提示”，找到后模擬點(diǎn)擊窗口按鈕，突破 “360安全衛(wèi)士”對(duì)其的監(jiān)控，創(chuàng)建隨機(jī)名稱的動(dòng)態(tài)鏈接庫(kù)文件于%SystemRoot%\system32\drivers\etc\目錄下。
創(chuàng)建"SRAT_Service"服務(wù)，服務(wù)啟動(dòng)后連接“c4*.3322.org:8080”，讀取后門配置文件，執(zhí)行如下功能，將用戶計(jì)算機(jī)變?yōu)榭�儡主機(jī)：

該后門創(chuàng)建的注冊(cè)表項(xiàng)：