Need help? Ask the community or hire an expert.
Go to Avira Answers
病毒:BDS/Mirc-based.K.5
发现日期:13/12/2012
类型:后门程序服务器
广泛传播:
病毒传播个案呈报:低程度至中程度
感染/传播能力:中等程度至高程度
破坏 / 损害程度:中等程度至高程度
静态文件:
文件大小:782.336 字节
MD5 校检和:375306f0f224df1542b0343d5756b8a5
VDF 版本:7.11.53.216 - 2012년 12월 13일 목요일
IVDF 版本:7.11.53.216 - 2012년 12월 13일 목요일

 况概描述 传播方法:
   • 感染文件


别名:
   •  Mcafee: W32/Virut.gen
   •  Sophos: W32/Vetor-A
   •  Panda: W32/Virutas.gen
   •  Eset: Win32/Virut.Q
   •  Bitdefender: IRC-Worm.Generic.4269


平台/操作系统:
   • Windows 2000
   • Windows XP
   • Windows 2003


副作用:
   • 植入恶意文件
   • 感染文件
   • 降低系统安全设置
   • 注册表修改
   • 第三方控件

 文件 创建以下文件:

– %PROGRAM FILES%\mIRC\IRC Bot\control.ini
– %PROGRAM FILES%\mIRC\IRC Bot\remote.ini
– %PROGRAM FILES%\mIRC\IRC Bot\svchost.exe
– %PROGRAM FILES%\mIRC\IRC Bot\Anjing_Malingsia.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Stupid.sys
– %PROGRAM FILES%\Microsoft Office
– %PROGRAM FILES%\mIRC\IRC Bot\fuck.sys
– %PROGRAM FILES%\mIRC\IRC Bot\kontol.mrc
– %PROGRAM FILES%\mIRC\IRC Bot\perampok_budaya.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Nama_Anjing.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Channel_Babi.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Nama_Babi.sys
– %PROGRAM FILES%\mIRC\IRC Bot\Asshole.sys

 注册表 会添加以下某个注册值,以便在重新引导后运行进程:

–  [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
   • "Shell"="Explorer.exe, %PROGRAM FILES%\Microsoft Office\WINWORD.EXE"



会添加以下注册表项目注册值:

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\Acha.exe]
   • "Debugger"="cmd.exe /c del"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\wscript.exe]
   • "Debugger"="rundll32.exe"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\AmyMastura.exe]
   • "Debugger"="cmd.exe /c del"

– [HKLM\SOFTWARE\Microsoft\Security Center]
   • "AntiVirusDisableNotify"=dword:0x00000001
   • "AntiVirusOverride"=dword:0x00000001
   • "FirewallDisableNotify"=dword:0x00000001
   • "FirewallOverride"=dword:0x00000001
   • "FirstRunDisabled"=dword:0x00000001
   • "UpdatesDisableNotify"=dword:0x00000001

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\registry.exe]
   • "Debugger"="cmd.exe /c del"

– [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
   Image File Execution Options\csrsz.exe]
   • "Debugger"="cmd.exe /c del"



会更改以下注册表项:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
   新值:
   • "EnableLUA"=dword:0x00000000

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
   新值:
   • "ShowSuperHidden"=dword:0x00000000
   • "SuperHidden"=dword:0x00000000

– [HKLM\SOFTWARE\Classes\exefile]
   新值:
   • "NeverShowExt"=""

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
   Folder\SuperHidden]
   新值:
   • "CheckedValue"=dword:0x00000000
   • "DefaultValue"=dword:0x00000000
   • "UncheckedValue"=dword:0x00000000

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   新值:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   新值:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

– [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows]
   新值:
   • "load"=""

– [HKLM\SYSTEM\CurrentControlSet\Services\wscsvc]
   新值:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\WinDefend]
   新值:
   • "Start"=dword:0x00000004
   • "Type"=dword:0x00000004

 文件感染 感染器类型:

附加器 - 病毒的主要代码添加在受感染文件的尾端。
– 文件的最后部分被修改加入病毒代码。


自行修改:

多态 - 每次感染时整个病毒代码都会改变。 病毒包含多态引擎。


方法:

此直接操作感染器会主动搜索文件。

此内存驻留感染程序仍然在内存中处于活动状态。


感染长度:

- 11.264 字节


以下文件已被感染:

按文件类型:
   • .exe

 IRC 为了提供系统信息和远程控制,它会连接到以下 IRC 服务器:

服务器: proxim.irc**********.pl
端口: 80
通道: &virtu
昵称: %随机字符串%

服务器: srv201.cy**********.name
端口: 80
通道: &virtu
昵称: %随机字符串%

服务器: 60.190.2**********.1**********
端口: 80
通道: &virtu
昵称: %随机字符串%

 注入进程 – 它会将其本身作为线程注入到进程中。

    进程名:
   • winlogon.exe



– 它会将后门例程注入到进程中。

    进程名:
   • %正在运行的所有进程%


 Rootkit 技术  挂钩以下 API 功能 :
   • NtCreateFile
   • NtOpenFile
   • NtCreateProcess
   • NtCreateProcessEx

설명 삽입자 Petre Galan   2010년 3월 22일 월요일
설명 업데이트 Petre Galan   2010년 3월 24일 수요일

뒤로 . . . .
https:// 이 창은 보안을 위해 암호화되었습니다.