后門程序
Backdoor.Win32.Trup.bo
捕獲時間
2011-05-25
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的后門程序，由微點主動防御軟件自動捕獲，長度為“39,424 字節”，圖標為“
”，病毒擴展名為“.exe”，病毒主要通過“文件捆綁”、“下載器下載”，“網頁掛馬”等方式傳播，病毒主要目的是劫持用戶IE瀏覽器，篡改主頁，用戶中毒后，將訪問大量黑客指定的網站并下載大量未知木馬計算機中，出現系統運行緩慢，網速變慢，出現大量未知進程。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Backdoor.Win32.Trup.bo”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.殺軟全盤掃描并利用桌面清理工具進行系統清理。
2.刪除注冊表項
HKEY_CLASSES_ROOT\SOFTWARE\Classes\JE
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\JE
將注冊表改為正常鍵值
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IE\shell\open\command
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
(1)，創建進程快照，遍歷查找是否存在360安全衛士殺毒模塊進程DsMain.exe，如果存在則自身休眠。
(2)，創建%SystemRoot%\Sie.ini配置文件。創建多個線程，創建%SystemDriver%\alh.exe，創建進程執行alh.exe，移動自身為228.tmp,并設置隱藏屬性。藏文件擴展名，不顯示隱藏文件，從而達到隱蔽病毒自身的效果。
(3)，遠程注入iexplore.exe進程，并訪問http://www.xun***.info。創建注冊表
HKEY_CLASSES_ROOT\SOFTWARE\Classes\JE和HKEY_LOCAL_MACHINE\SOFTWARE\Classes\JE
項：command
數據：%ProgramFiles%\Internet Explorer\IEXPLORE.EXE http://www.xun***.info,
項：DefaultIcon
數據：%SystemRoot%\system32\tbhdz.ico
(4)，修改注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IE\shell\open\command值為%ProgramFiles%\Internet Explorer\IEXPLORE.EXE http://**.97780.com?1127311，篡改主頁為http://**.97780.com?1127311,訪問指定網站并下載大量病毒木馬程序到IE緩沖區，下載大量未知文件到用戶計算機運行。
(5)，在桌面上創建流氓快捷方式：IE瀏覽器、淘寶網店、在線高清影院等快捷方方式。
病毒創建文件：
%SystemRoot%\VL.ini
%SystemRoot%\al.ini%
SystemRoot%\VB.ini
%SystemRoot%\system32\tbhdz.ico
%SystemDriver%\ati.exe
病毒當前目錄\288.tmp
病毒當前目錄\1288.tmp
病毒創建注冊表：
HKEY_CLASSES_ROOT\SOFTWARE\Classes\JE
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\JE
修改HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IE\shell\open\command
值為：%ProgramFiles%\Internet Explorer\IEXPLORE.EXE http://**.97780.com?1127311
病毒訪問網絡:
http://dh.765***.info?1127311
http://dh.977**.com
http://cpm.ejiu**.com/sms/tc.php?id=10
http://cpm.ejiu**.com/sms/tc.php?id=11
http://cpm.ejiu**.com/sms/tc.php?id=12
http://jj.765***.info:3218/sms/xxx5.ini
http://60.173.10.**:4567/setup_10016.exe
http://xiazai.*****.com/Corp/kugou_2526.exe
http://60.173.10.**:1234/dy.exe
