后門程序
Backdoor.Win32.Beastdoor.ot
捕獲時間
2011-03-22
危害等級
中
病毒癥狀
該樣本是使用VC 編寫的后門程序，用UPX加殼，由微點主動防御軟件自動捕獲，長度為“30,894 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為設立后門，使用戶電腦淪為傀儡主機。
用戶中毒后，可能會出現計算機無故重啟、關閉，重要文件丟失，系統及網絡緩慢、程序無故關閉、出現各類病毒等導致用戶隱私泄露及影響用戶使用的現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Backdoor.Win32.Beastdoor.ot”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstnhb.com
%SystemRoot%\msagent\msoyjs.com
%SystemRoot%\system32\mslg.blf
2、手動刪除以下注冊表項：
HKEY_LOCAL_MACHINE\sam\A
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數據：%system%\msagent\msoyjs.com
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數據：%system%\msagent\msoyjs.com
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components
{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath：%system%\msoyjs.com
3、修改以下注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
DisableSR： 1改為0
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒運行后，首先查找是否有beasty窗口，然后提升自身進程權限；
2、獲取系統用戶名和計算機名，打開注冊表項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion，通過ProductName項獲取操作系統版本，然后獲取系統的CPU硬件信息，端口信息；
3、查找系統目錄%SystemRoot%\system32\下是否有sys.msd、sys.mss、sys.msx、sys.msl,如果有，則讀取這些文件；
4、讀取桌面進程文件explorer.exe，獲取該文件的系統時間；
5、創建目錄%SystemRoot%\msagent，將病毒文件自身復制到%SystemRoot%\svchost.exe、%SystemRoot%\system32\mstnhb.com、%SystemRoot%\msagent\msoyjs.com，文件屬性為系統，同時修改文件的創建時間與修改時間；
6、打開注冊表項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore，修改DisableSR值為1，關閉系統還原功能；
7、比較自身是否位為%SystemRoot%\svchost.exe，如果不是，則創建進程運行%SystemRoot%\svchost.exe；然后調用命令行刪除病毒原文件；
8、svchost.exe運行后，創建名稱為beasty的窗口，用于與遠程主機通信；
9、創建線程，在系統目錄%SystemRoot%\system32下創建文件mslg.blf，設置文件屬性為系統，用于存取獲取到的用戶信息；
10、創建注冊表開機自啟動項，用于開機運行system%\msagent\msoyjs.com；
11、開啟“6666”端口并監聽，等待服務端進一步和動作，用戶電腦成為傀儡主機；
12、黑客可以對電腦進行文件管理、進程控制、注冊表操作、遠程命令執行、屏幕監控、鼠標控制視頻監控、鍵盤記錄等操作，將獲取到的信息通過socket通信發送到遠端主機 ；
病毒創建文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstnhb.com
%SystemRoot%\msagent\msoyjs.com
%SystemRoot%\system32\mslg.blf
病毒創建注冊表：
HKEY_LOCAL_MACHINE\sam\A
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數據：%system%\msagent\msoyjs.com
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數據：%system%\msagent\msoyjs.com
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components
{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath：%system%\msoyjs.com
病毒修改注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
DisableSR： 1
