微点交流论坛 - 病毒快报 - 后门程序 Backdoor.Win32.Small.sb

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 病毒快报 » 后门程序 Backdoor.Win32.Small.sb

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#1 后门程序 Backdoor.Win32.Small.sb

病毒名称

Backdoor.Win32.Small.sb

捕获时间

2007-11-29

病毒症状

该病毒使用VC++6.0编写的后门程序，长度为8,192字节，图标为Windows默认可执行文件图标，病毒扩展名为exe，主要传播途径网页木马、文件捆绑。

病毒分析

　　该后门程序被激活后，通过查看注册表HKLM\SYSTEM\CurrentControlSet\Services子项，确定病毒服务service_svcname是否存在，若存在通过StartServiceCtrlDispatcherA执行服务代码，否则先进行初始化再执行服务代码。

主要初始化动作如下：
遍历进程查找avp.exe、kavsvc.exe、Ravmon.exe、RavmonD.exe等杀毒软件进程并将其结束；
将自身拷贝到%systemroot%\system32目录下后，将病毒拷贝注册成名为service_svcname的服务并运行；
通过运行命令行将病毒原文件删除。

病毒自定义的服务代码：
病毒会在后台同时开启多个线程打开多个端口向后门种植者发送数据包，当连接建立后会根据不同的命令执行相应的动作，成为黑客的肉机；
flood：肉机接收到该命令后，会向和该命令一起发送过来的IP地址循环发送数据包进行DDos攻击；
download：病毒访问恶意网站下载其它病毒程序并运行；
updatedata：下载病毒模块执行更新操作；stopattack：病毒停止一切操作。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页挂马、文件捆绑

安全提示

已安装微点主动防御软件的用户，无论您是否已经升级到最新版本，微点主动防御都能够有效清除该后门程序。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您“发现未知木马”，请直接选择删除处理（如图1）；

图1

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现“Backdoor.Win32.Small.sb”，请直接选择删除（如图2）。

                              图2

   使用其它杀毒软件的用户，请尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。由于该病毒的特殊性，会自动终止某些杀毒软件运行，如果您的杀毒软件已经无法运行，您也可以尝试安装微点解决。

   没有安装微点主动防御软件的用户，建议您尽快安装使用微点主动防御软件高效清除各类未知病毒和新病毒。

[ Last edited by pioneer on 2007-12-1 at 09:20 ]

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2007-11-30 18:45

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号