后門程序
Backdoor.Win32.Wuca.je
捕獲時間
2012-01-10
危害等級
中
病毒癥狀
該樣本是使用“Microsoft Visual C ”編寫的“后門程序”，由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“14,858 ”字節(jié)，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進行傳播。病毒主要目的是控制用戶機器，竊取用戶信息。用戶中毒后，會出現(xiàn)網(wǎng)絡運行緩慢，網(wǎng)絡端口開啟，運行未知進程等現(xiàn)象
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點主動防御軟件升級到最新版本，微點將報警提示您發(fā)現(xiàn)木馬"Backdoor.Win32.Wuca.je ”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除文件
1．刪除 %ProgramFiles%\Common Files\%SESSIONNAME%\conlme.exe
2．刪除 %Documents and Settings%\All Users\「開始」菜單\程序\啟動\tencenk.lnk
恢復注冊表鍵值
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
鍵值 ： "C:\Program Files\Internet Explorer\iexplore.exe"
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1、讀取"C:\WINDOWS\system32\config\default"文件，運行命令行"cmd /c taskkill /im cfmon.exe /f"、"cmd /c taskkill /im conlme.exe /f"結束進程cfmon.exe、conlme.exe。
2、創(chuàng)建"C:\Program Files\Common Files\%SESSIONNAME%"文件夾，將屬性設置為系統(tǒng)、隱藏，將樣本復制為"C:\Program Files\Common Files\%SESSIONNAME%\conlme.exe"，修改文件的時間信息，并添加惡意代碼，然后運行該文件。
3、運行命令行cmd /c del "C:\Documents and Settings\Administrator\桌面\sample.exe"刪除樣本文件。
4、"C:\PROGRA~1\COMMON~1\%SESSI~1\conlme.exe"運行后，創(chuàng)建"C:\Program Files\QPW.VBE"文件（文件名隨機），以參數(shù)“open”運行"C:\Program Files\QPW.VBE"（文件名隨機）修改主頁為www.07***.com。
5、從"http://d.qq***.com/b.jpg"下載惡意代碼，并運行。
6、創(chuàng)建快捷方式"C:\Documents and Settings\All Users\「開始」菜單\程序\啟動\tencenk.lnk"指向"C:\Program Files\Common Files\%SESSIONNAME%\conlme.exe"，達到開機啟動的目的。
7、刪除"C:\Program Files\QPW.VBE"（文件名隨機）。
8、創(chuàng)建計劃任務，定時訪問http://gbh.***.us/p/ug.exe，獲取指令，然后進行相應的惡意操作。
9、修改HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command的值為""C:\Program Files\Internet Explorer\iexplore.exe" http://www.52***.com/"。
病毒創(chuàng)建文件：
%ProgramFiles%\Common Files\%SESSIONNAME%\conlme.exe
%ProgramFiles%\QPW.VBE"（文件名隨機）
%Documents and Settings%\All Users\「開始」菜單\程序\啟動\tencenk.lnk
病毒創(chuàng)建注冊表：
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
鍵值 ：""C:\Program Files\Internet Explorer\iexplore.exe" http://www.52***.com/"
病毒訪問網(wǎng)絡：
http://d.qq***.com/b.jpg
http://www.07***.com
http://gbh.***.us/p/ug.exe
http://www.52***.com/
