投稿 评论 顶部

彩虹桥木马防止卡巴查杀

佚名 网络安全

彩虹桥木马是使用vb编写的后门程序,由微点主动防御软件自动捕获,未加壳,样本长度为“421,376 字节”,图标为“”,使用“exe”扩展名,通过“诱骗用户点击”、“文件捆绑”等途径植入用户计算机

彩虹桥木马主要功能可盗取文件,窃取密码、记录键盘、摄像头录像,使用户隐私完全暴露于病毒种植者,沦陷为傀儡主机

彩虹桥木马分析

该样本被执行后, 将修改注册表,映像劫持下列安全软件进程,将下列进程指向“ifeofile”,相关进程如下:

在系统目录“%systrmdrive%”下建立“temp”文件夹,释放随机文件名文件“qpxyn492008d.exe”至此目录,随后将其运行。

“qpxyn492008d.exe”运行后,将以挂起方式启动进程“iexplore.exe”,申请空间将自身代码写入,执行远程线程将写入的代码作为其一个线程运行,“iexplore.exe”启动后,将复制“qpxyn492008d.exe”至系统目录 “%commonprogramfiles%\microsoft shared\msinfo\”,并重命名为“network.exe”,修改注册表,将“network.exe”注册为服务,相关注册表键值如下:

项:“hkey_local_machine\system\currentcontrolset\services\network location”

键:“type”

数据:110

键:“start”

数据:“02”

键:“imagepath”

数据:“c:\program files\common files\microsoft shared\msinfo\network.exe”

键:“displayname”

数据:“network location awareness”

键:“description”

数据:“收集并保存网络配置和位置信息”

随后“iexplore.exe”将删除“qpxyn492008d.exe”,后台联网通过空间“http://qqg**d.micro8oft.com/2**8dnewip.txt”上读取后门种植者所设置的ip地址和端口号进行反向连接,连接成功后与黑客进行通讯,接受黑客的控制,使被病毒感染主机伦为傀儡主机

彩虹桥木马防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1);

彩虹桥木马防止卡巴查杀