后門程序
Backdoor.Win32.Generic.vd
捕獲時間
2012-07-03
危害等級
中
病毒癥狀
該樣本是使用“C/C ”編寫的“后門程序”，由微點主動防御軟件自動捕獲,長度為“72,704”字節(jié)，圖標(biāo)為“
”，使用“exe”擴展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進行傳播。
病毒主要目的是控制用戶機器，竊取用戶信息。
用戶中毒后，會出現(xiàn)殺軟無故關(guān)閉，端口自動開放，重要資料泄露等現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設(shè)置，微點主動防御將自動保護您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“未知后門”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點主動防御軟件升級到最新版本，微點將報警提示您發(fā)現(xiàn)木馬"Backdoor.Win32.Generic.vd”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動停止并刪除服務(wù)"Hjnqro Huqqwhty Req"，刪除處相應(yīng)注冊表項
修改鍵值項"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\ RouterManagers\Ip\DLLPath"="%SystemRoot%\System32\iprtrmgr.dll"，禁用服務(wù)"RemoteAccess"。
2.手動刪除文件
"%ProgramFiles%\Hdwd\Ducrxgtev.jpg"
3.手動修改注冊表
刪除注冊表鍵：
"HKEY_LOCAL_MACHINE\SOFTWARE\287508236(名字隨機)"
"HKEY_LOCAL_MACHINE\SOFTWARE\55099449(名字隨機)"
"HKEY_CURRENT_USER\NetSubKey"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Hjnqro Huqqwhty Req"
將鍵值項"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\imgsvc"設(shè)為正常值
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.注冊名字為"My Win32"的窗口類，獲取系統(tǒng)目錄，生成隨即文件名，如"C:\4100.dll(文件名隨機)"，刪除原有同名文件，并創(chuàng)建該文件，將病毒數(shù)據(jù)(類型為"CPP"的資源數(shù)據(jù))寫入該文件。
2.創(chuàng)建文件"c:\NT_Path.jpg"，將病毒文件全路徑信息寫入該文件，將新生成dll文件全路徑信息寫入該文件。
3.打開服務(wù)控制管理器，修改"RemoteAccess"服務(wù)配置，設(shè)置啟動類型為手動，允許服務(wù)與桌面交互，發(fā)送控制碼SERVICE_CONTROL_STOP，停止此服務(wù)。
4.修改鍵值項"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\ RouterManagers\Ip\DLLPath"="C:\4100.dll(文件名隨機)"，并啟動此服務(wù)。
5.循環(huán)等待事件對象"Glable__Wait"，如果非有信號狀態(tài)等待結(jié)束，則加載"C:\4100.dll(文件名隨機)"到當(dāng)前進程地址空間。
6."4100.dll(文件名隨機)"加載到系統(tǒng)當(dāng)中后，判斷當(dāng)前模塊是否為"C:\Program Files\Hdwd\Ducrxgtev.jpg"，如果不是：
(1)設(shè)置事件對象"Glable__Wait"為有信號狀態(tài)。獲取系統(tǒng)目錄，刪除文件"C:\WINDOWS\system32\syslog.dat"、"C:\Program Files\Hdwd\Ducrxgtev.jpg"，創(chuàng)建目錄"C:\Program Files\Hdwd"。
(2)打開服務(wù)控制管理器，創(chuàng)建名字為"Hjnqro Huqqwhty Req"的服務(wù)，顯示名稱為"Oyajer Utttoxtg Sofrsbjc Mqlh"，啟動類型為自動，可執(zhí)行映像為"%SystemRoot%\System32\svchost.exe -k imgsvc"。
(3)獲取windows目錄，刪除原有文件"C:\Net-Temp.ini"。將當(dāng)前進程權(quán)限提升為"SeBackupPrivilege(備份)"、"SeRestorePrivilege(還原)"。
(4)打開服務(wù)注冊表鍵"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Hjnqro Huqqwhty Req"，將該鍵所有信息備份到文件"C:\Net-Temp.ini"。
(5)創(chuàng)建注冊表鍵"HKEY_LOCAL_MACHINE\SOFTWARE\55099449(名字隨機)"，將文件內(nèi)容"C:\Net-Temp.ini"恢復(fù)到該鍵，設(shè)置"HKEY_LOCAL_MACHINE\SOFTWARE\55099449\Parameters\ServiceDll"="C:\Program Files\Hdwd\Ducrxgtev.jpg"。刪除文件"C:\Net-Temp.ini"。
(6)將注冊表鍵"HKEY_LOCAL_MACHINE\SOFTWARE\55099449(名字隨機)"保存為"C:\Net-Temp.ini"，并恢復(fù)到注冊表服務(wù)鍵"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Hjnqro Huqqwhty Req"，刪除文件"C:\Net-Temp.ini"。
(7)打開注冊表鍵"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost"將該鍵所有信息備份到文件"C:\Net-Temp.ini"。
(8)創(chuàng)建注冊表鍵"HKEY_LOCAL_MACHINE\SOFTWARE\287508236(名字隨機)"，將文件內(nèi)容"C:\Net-Temp.ini"恢復(fù)到該鍵。查詢鍵值項"imgsvc"，比較是否為"Hjnqro Huqqwhty Req"，如果不是則設(shè)置鍵值數(shù)據(jù)為"StiSvc Hjnqro Huqqwhty Req"。刪除文件"C:\Net-Temp.ini"。
(9)將注冊表鍵"HKEY_LOCAL_MACHINE\SOFTWARE\287508236(名字隨機)"保存為"C:\Net-Temp.ini"，并恢復(fù)到注冊表服務(wù)鍵"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost"，刪除文件"C:\Net-Temp.ini"。
(10)將文件"C:\4100.dll"拷貝重命名為"C:\Program Files\Hdwd\Ducrxgtev.jpg"，并向該文件尾部寫入大量隨機數(shù)據(jù)，并設(shè)置屬性為"系統(tǒng)"。
(11)修改服務(wù)啟動失敗動作，并啟動新創(chuàng)建的服務(wù)"Hjnqro Huqqwhty Req"。
7."C:\4100.dll(文件名隨機)"作為服務(wù)執(zhí)行：
(1)加載資源，注冊窗口類，創(chuàng)建窗口，開辟多線程，讀取文件"c:\NT_Path.jpg"中主程序和病毒dll路徑信息，將其與"c:\NT_Path.jpg"全部刪除。創(chuàng)建進程快照，查找"DSMain.exe(360查殺進程)"，修改注冊表信息，企圖躲過殺軟掃描。
(2)將當(dāng)前線程關(guān)聯(lián)到當(dāng)前輸入桌面對象，讀取網(wǎng)絡(luò)"www.baidu.com/ip.txt"中地址信息，創(chuàng)建套接字，連接到網(wǎng)絡(luò)"www.wi*ipl*m.com"。創(chuàng)建注冊表鍵"HKEY_CURRENT_USER\NetSubKey"，查詢本機處理器、內(nèi)存使用、系統(tǒng)驅(qū)動等信息發(fā)送到遠程主機。
病毒創(chuàng)建文件：
"%SystemDriver%\4100.dll(文件名隨機)"
"%SystemDriver%\NT_Path.jpg"
"%ProgramFiles%\Hdwd\Ducrxgtev.jpg"
"%SystemDriver%\Net-Temp.ini"
病毒刪除文件：
"%SystemDriver%\4100.dll(文件名隨機)"
"%SystemDriver%\NT_Path.jpg"
"%SystemDriver%\Net-Temp.ini"
"%SystemRoot%\system32\syslog.dat"
病毒文件自身
病毒創(chuàng)建或修改注冊表：
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\ RouterManagers\Ip\DLLPath"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Hjnqro Huqqwhty Req"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost"
"HKEY_LOCAL_MACHINE\SOFTWARE\287508236(名字隨機)"
"HKEY_LOCAL_MACHINE\SOFTWARE\55099449(名字隨機)"
"HKEY_CURRENT_USER\NetSubKey"
病毒訪問網(wǎng)絡(luò)：
"www.baidu.com/ip.txt"
"www.wi*ipl*m.com"
