beplay体育app下载/欧国联含金量高吗/辽宁篮球直播/福彩快乐8走势图一定牛

   
首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.Agent.do
來源:  2010-05-25 12:03:21

后門程序

Backdoor.Win32.Agent.do

捕獲時間

2010-5-24

危害等級



病毒癥狀

   該樣本是使用“VC ”編寫的后門程序,由微點主動防御軟件自動捕獲,采用“Petite”加殼方式,企圖躲避特征碼掃描,加殼后長度為“13,734 ”字節,圖標為“
”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的是控制用戶機器。
 用戶中毒后,會出現系統運行緩慢,網絡端口無故開啟,系統發現未知進程等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

網頁木馬、文件捆綁、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1);


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)




如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Backdoor.Win32.Agent.do”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒




未安裝微點主動防御軟件的手動解決辦法

1.刪除病毒生成物%Temp%\winsvchosts.exe

2.刪除注冊表值:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
名稱:WinUpdate
數值:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winsvchosts.exe

變量聲明:

  %SystemDriver%       系統所在分區,通常為“C:\”
  %SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
  %Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
  %Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
  %ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

1.病毒創建互斥體,以免二次運行。獲取自身路徑及名稱,對比是否為%Temp%\winsvchosts.exe,若不是則將自身復制為%Temp%\winsvchosts.exe并運行。
2.winsvchosts.exe設置相應注冊表項,將自身添加為開機啟動項。相應注冊表值為:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
名稱:WinUpdate
數值:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winsvchosts.exe
3.等待網絡連接,聽取命令,本地機器受遠端黑客控制。
  
病毒創建文件

%Temp%\winsvchosts.exe

病毒創建注冊表

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
名稱:WinUpdate
數值:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winsvchosts.exe

病毒訪問網絡

scan2010.2***.org

免費體驗
下  載
安裝演示