木馬抹掉自身入侵痕跡

范“冰之心”變種aa和“蒼蠅賊”變種nn。

英文名稱(chēng)：TrojanDownloader.Icehart.aa

中文名稱(chēng)：“冰之心”變種aa

病毒長(zhǎng)度：133632字節(jié)

病毒類(lèi)型：木馬下載器

危險(xiǎn)級(jí)別：一星

影響平臺(tái)：Win 9X/ME/NT/2000/XP/2003

MD5 校驗(yàn)：062cfd75b3f18245bc604b14deb0273d

特征描述：

TrojanDownloader.Icehart.aa“冰之心”變種aa是“冰之心”家族中的最新成員之一，采用“Microsoft Visual Studio .NET 2005 -- 2008”編寫(xiě)。自我復(fù)制到被感染系統(tǒng)的“%SystemRoot%\system32\”文件夾下，重新命名為“system.exe”。在被感染系統(tǒng)的“%SystemRoot%\system32\”文件夾下釋放惡意程序“efkfk.exe”并在后臺(tái)調(diào)用執(zhí)行。該惡意程序運(yùn)行后會(huì)將自身刪除，以此達(dá)到消除痕跡的目的。“efkfk.exe”運(yùn)行時(shí)，會(huì)將“%SystemRoot%\system32\wininet.dll”復(fù)制到“%USERPROFILE%\Local Settings\Temp\”文件夾下，重新命名為“1.tmp”，并且通過(guò)其訪問(wèn)網(wǎng)絡(luò)。后臺(tái)連接駭客指定的遠(yuǎn)程站點(diǎn)“sc.ag*8.com:8080/”，獲取惡意程序下載列表，下載指定的惡意程序“01.jpg”、“02.jpg”等并自動(dòng)調(diào)用運(yùn)行。其所下載的惡意程序可能為網(wǎng)絡(luò)游戲盜號(hào)木馬、遠(yuǎn)程控制后門(mén)或惡意廣告程序（流氓軟件）等，致使用戶面臨更多的威脅。在桌面上創(chuàng)建快捷方式“免費(fèi)電影C”、“改變你的一生”、“淘寶購(gòu)物A”，從而對(duì)指定的網(wǎng)址http://www.sf*08.com/taobao.htm">www.sf*08.com/taobao.htm進(jìn)行推廣，給駭客創(chuàng)造了非法的經(jīng)濟(jì)利益。另外，“冰之心”變種aa會(huì)在被感染系統(tǒng)注冊(cè)表啟動(dòng)項(xiàng)中添加鍵值，以此實(shí)現(xiàn)開(kāi)機(jī)自啟。

英文名稱(chēng)：TrojanSpy.FlyStudio.nn

中文名稱(chēng)：“蒼蠅賊”變種nn

病毒長(zhǎng)度：1197130字節(jié)

病毒類(lèi)型：間諜木馬

危險(xiǎn)級(jí)別：一星

影響平臺(tái)：Win 9X/ME/NT/2000/XP/2003

MD5 校驗(yàn)：5fb3df713a6620967997651f8ee2e202

特征描述：

TrojanSpy.FlyStudio.nn“蒼蠅賊”變種nn是“蒼蠅賊”家族中的最新成員之一，采用高級(jí)語(yǔ)言編寫(xiě)，經(jīng)過(guò)加殼保護(hù)處理。“蒼蠅賊”變種nn運(yùn)行后，會(huì)在被感染系統(tǒng)的“%USERPROFILE%\Local Settings\Temp\E_4\”文件夾下釋放易語(yǔ)言庫(kù)文件“krnln.fnr”、“Exmlrpc.fne”、“dp1.fne”，還會(huì)在“%programfiles%\Swuhqwjap\”文件夾下釋放惡意程序“srvany.exe”并自動(dòng)調(diào)用運(yùn)行。自我復(fù)制到被感染系統(tǒng)的“%SystemRoot%\”文件夾下，重新命名為“Vrwrjbfkc.exe”。“蒼蠅賊”變種nn運(yùn)行時(shí)，會(huì)秘密連接駭客指定的服務(wù)器“z*q.3322.org”、“x*j.8800.org”，偵聽(tīng)駭客指令，然后在被感染的計(jì)算機(jī)上執(zhí)行相應(yīng)的惡意操作。駭客可通過(guò)“蒼蠅賊”變種nn完全遠(yuǎn)程控制被感染的計(jì)算機(jī)系統(tǒng)，從而給用戶的信息安全、個(gè)人隱私甚至是商業(yè)機(jī)密造成無(wú)法挽回的損失。其運(yùn)行完成后，會(huì)創(chuàng)建批處理文件“5fb3df713a6620967997651f8ee2e202.exe_And xMe.bat”并調(diào)用運(yùn)行，以此消除痕跡。另外，“蒼蠅賊”變種nn會(huì)在被感染計(jì)算機(jī)中注冊(cè)名為“Swuhqwjap”的系統(tǒng)服務(wù)，以此實(shí)現(xiàn)開(kāi)機(jī)自啟。

木馬病毒很狡猾，我們能做的就只是避免，進(jìn)而研究新的對(duì)抗方法，希望大家提高防范意識(shí)，避免造成損失。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]