魂斗罗归来2018a英雄排行  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

后門程序Backdoor.Win32.Generic.apy

后門程序

Backdoor.Win32.Generic.apy

捕獲時間

2013-01-27

危害等級



病毒癥狀

該樣本是使用“C/C ”編寫的“后門程序”,由微點主動防御軟件自動捕獲,長度為“29,696”字節,圖標為
,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是控制用戶系統。用戶中毒后,會出現網絡運行緩慢,網絡端口開啟,運行未知進程等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)








如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現后門程序"Backdoor.Win32.Generic.apy”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒













未安裝微點主動防御軟件的手動解決辦法:

1.手動停止并刪除服務" Windows Test My Test 1.0"

2.手動刪除文件
"%SystemRoot%\system32\AliveService.exe "
"%Temp%\aebwg.exe(文件名隨機)"
"%Temp%\PPTufwve.exe(文件名隨機)"


變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1.判斷注冊表"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Test My Test 1.0"是否存在,不存在則執行步驟。
2.獲取系統目錄,將自身拷貝重命名為"C:\WINDOWS\system32\AliveService.exe"。
3.連接服務控制管理器,創建名字為"Windows Test My Test 1.0"的服務,顯示名稱為"Windows Test My Test Server 1.0",啟動類型為自動,執行映像指向"C:\WINDOWS\system32\AliveService.exe",服務描述信息為"This is WindowsTest My Test Server 1.0.",之后啟動此服務。
4.創建新進程,執行命令"C:\WINDOWS\system32\cmd.exe /c del 病毒主程序 > nul",將病毒主程序刪除。
5.病毒服務"Windows Test My Test 1.0"啟動之后,開辟多線程:
(1)創建名字為"Windows Test My Test 1.0"的互斥對象,防止重復執行。
(2)解密遠程地址"vip1.**-shopping.com:8000",創建網絡連接,連接到該主機,獲取本地語言信息、操作系統版本信息等信息發送到遠程主機,并接收控制命令,執行其他惡意操作。
(3)惡意操作包括:接收病毒網址,下載病毒文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\aebwg.exe(文件名隨機)"、"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\PPTufwve.exe(文件名隨機)"并隱藏執行、解密其他主機地址,對其其發動洪水攻擊、卸載自身服務等。

病毒創建文件:

"%SystemRoot%\system32\AliveService.exe "
"%Temp%\aebwg.exe(文件名隨機)"
"%Temp%\PPTufwve.exe(文件名隨機)"

病毒刪除文件:

病毒主程序

病毒訪問網絡:

"vip1.**-shopping.com:8000"

免費試用
下  載
安裝演示