后门程序
Backdoor.Win32.IRCBot.fyc
捕获时间
2012-09-27
危害等级
中
病毒症状
该样本是使用“C/C ”编写的“后门程序”,由微点主动防御软件自动捕获,长度为“43,520”字节,图标为“
”,使用“exe”扩展名,通过移动存储、网页挂马、下载器下载等方式进行传播。病毒主要目的是控制用户系统。用户中毒后,会出现网络运行缓慢,网络端口开启,运行未知进程等现象。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)
图1 微点主动防御软件自动捕获未知病毒(未升级)
如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现后门程序"Backdoor.Win32.IRCBot.fyc”,请直接选择删除(如图2)。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法:
1.将文件"%SystemRoot%\system32\drivers\etc\hosts"用正常文件替换
2.手动删除文件
"%Documents and Settings%\Administrator\Application Data\svschost.exe"
"%Documents and Settings%\Administrator\Application Data\ctfmon.exe"
"%Documents and Settings%\Administrator\Application Data\tempV0_n9[k4]k-o.tmp"
目录"*:\DATABLOCK(*为移动磁盘盘符)"及其中所有文件
"*:\autorun.inf(*为移动磁盘盘符)"
3.手动删除键值项
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ system\EnableLUA"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows Firewall"
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows Firewall"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\Microsoft Windows Firewall"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe"
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List\ctfmon.exe"
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
病毒分析:
1.设置键值项"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\ EnableLUA" = 0,禁用用户账户控制功能。
2.创建名字为"V0_n9[k4]k-o"的互斥对象,防止重复运行。
3.获取系统目录,向文件"C:\WINDOWS\system32\drivers\etc\hosts"写入病毒数据,屏蔽对指定网络的访问,如"avg.com"、"avp.com"、"download.mcafee.com"、"kaspersky-labs.com"、"viruslist.com"、"bitdefender.com"、"liveupdate.symantecliveupdate.com"、"my-etrust.com"、"updates.symantec.com"、"virscan.org"等。
4.将自身拷贝重命名为"C:\Documents and Settings\Administrator\Application Data\svschost.exe",设置文件属性为只读、系统、隐藏。
5.创建新进程,执行文件"C:\Documents and Settings\Administrator\Application Data\svschost.exe"。
6."C:\Documents and Settings\Administrator\Application Data\svschost.exe"执行之后:
创建新线程,每隔一秒钟执行步骤(1)(2):
(1)设置键值项"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows Firewall" = "C:\Documents and Settings\Administrator\Application Data\svschost.exe"、
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows Firewall" = "C:\Documents and
Settings\Administrator\Application Data\svschost.exe",实现病毒开机自启动。
(2)设置键值项"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\List\Microsoft Windows Firewall" = "C:\Documents and
Settings\Administrator\Application Data\svschost.exe",将病毒文件添加到防火墙授权访问列表。
(3)将自身拷贝重命名为"C:\Documents and Settings\Administrator\Application Data\ctfmon.exe",设置文件属性为只读、系统、隐藏。
(4)设置键值项"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe" = "C:\Documents and Settings\Administrator\Application Data\ctfmon.exe"、
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe" = "C:\Documents and
Settings\Administrator\Application Data\ctfmon.exe",实现病毒开机自启动。
(5)设置键值项"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\List\ctfmon.exe" = "C:\Documents and Settings\Administrator\
Application Data\ctfmon.exe",将病毒文件添加到防火墙授权访问列表。
(6)创建进程快照,查找进程"svschost.exe",将病毒数据写入该进程地址空间并执行。
创建新线程,执行步骤(7)(8):
(7)试图关闭标题为"Windows Security Alert"、"BitDefender Firewall Alert"的窗口。
(8)遍历所有可移动设备,并在其中创建目录"*:\DATABLOCK\System(*为移动磁盘盘符)"及文件"*:\DATABLOCK\System\Desktop.ini"、"*:\autorun.inf",并将自身拷贝重命名为"*:\DATABLOCK\System\DATABLOCK.EXE",之后设置该目录及文件属性为只读、系统、隐藏,以此通过可移动磁盘自动运行并传播。
(9)创建套接字,连接到远程主机"xlaa***.no-ip.info",获取计算机名、本地区域信息、操作系统版本等信息发送到该主机,并从该主机接收数据,受控于该主机。
(10)创建文件"C:\Documents and Settings\Administrator\Application Data\tempV0_n9[k4]k-o.tmp",写入记录数据。
病毒创建文件:
"%Documents and Settings%\Administrator\Application Data\svschost.exe"
"%Documents and Settings%\Administrator\Application Data\ctfmon.exe"
"%Documents and Settings%\Administrator\Application Data\tempV0_n9[k4]k-o.tmp"
"*:\DATABLOCK\System\Desktop.ini(*为移动磁盘盘符)"
"*:\autorun.inf(*为移动磁盘盘符)"
"*:\DATABLOCK\System\DATABLOCK.EXE(*为移动磁盘盘符)"
病毒修改文件:
"%SystemRoot%\system32\drivers\etc\hosts"
病毒修改注册表:
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\ EnableLUA"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows Firewall"
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Windows Firewall"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List\Microsoft Windows Firewall"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe"
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\AuthorizedApplications\List\ctfmon.exe"
病毒访问网络:
"xlaa***.no-ip.info"