"PE远程后门"感染文件、打开系统后门

"PE远程后门844800"(PE.PECrypt.ze),这是一个PE病毒,它会感染Windows下所有的PE格式文件。病毒作者为病毒代码设置了加密,使病毒特征无法定位,试图以此阻止安全软件对它进行查杀。当它感染完文件后,就会释放出木马文件并执行,在用户电脑上制造后门,便于黑客入侵。

"AUTO病毒15598"(Win32.Troj.AutoRunT.ad.15598),这是一个下载者病毒。它会查找并关闭安全软件的提示窗口。如果用户电脑中安装有杀毒软件卡巴斯基,病毒会修改系统日期,使卡巴失效。然后,它会下载病毒文件,并在系统上的每个磁盘下生成 autorun.inf 文件,扩散自己的传播范围。

一、"PE远程后门844800"(PE.PECrypt.ze) 威胁级别:★

PE的意思是可移植的执行体,即portable executable,这是windows下广泛存在的一个32位的文件格式,PE病毒指的自然也就是感染这类文件的病毒。由于需要自己设置比较复杂的函数调用方式,PE病毒成为一些病毒作者用以炫耀自己技术的产品,在这样的情况下,PE病毒层出不穷。

毒霸的反病毒工程师昨日处理的病毒中,就有一个PE病毒。它传播的方式是随着被感染的文件进入用户电脑,而当用户运行被感染的文件时,就会将其激活。

病毒被激活后,会立即运行起来。它将被感染的文件重新拆成正常文件和自己的病毒文件~ZY7.tmp,并把它们释放到系统临时文件夹中运行。由于文件会正常运行,用户一般难以发现自己电脑已经中毒。而这时,那个独立的病毒文件除了会搜寻别的正常文件进行感染外,还会试图打开用户的系统后门。原来,它是一个远程控制后门程序。当病毒成功开启后门,木马种植者(黑客)就能远程控制用户的电脑,进行任何想要的系统操作,甚至盗取用户的个人隐私和商业资料。

经毒霸反病毒工程师的分析,被感染后的文件入口地址被改到最后一个节表的病毒代码处执行,关键病毒代码被加密,前面一段代码就是解密后面的加密指令。病毒作者试图以此阻止安全软件的查杀,但毒霸仍可彻底清除该毒,因此已安装毒霸的用户们大可放心。不过,还是要再次提醒大家,在进行下载和接收他人从网上发来的文件时,最好用杀毒软件进行一下扫描,防止感染型病毒的潜入。

关于该病毒的详细分析报告,可在金山病毒大百科中查阅:http://vi.duba.net/virus/pe-pecrypt-ze-844800-50474.html

二、"AUTO病毒15598"(Win32.Troj.AutoRunT.ad.15598) 威胁级别:★

随着U盘等移动存储设备价格降低,越来越多人养成随身携带U盘的习惯,一些病毒作者看准这一点,制作出大量可利用U盘传播的AUTO病毒。在毒霸反病毒分析师昨日处理的病毒中,就有不少AUTO病毒,我们选出其中传播倾向较高的一个,为大家介绍其破坏原理。

此病毒进入系统后,在%WINDOWS%system32目录下释放出一个隐藏属性的病毒文件Dser.exe ,为防止用户恢复文件显示模式后发现该文件,病毒还将这个文件伪装成"系统"文件,试图迷惑用户。

接着,它判断系统盘%WINDOWS%system32drivers目录下是否有 klif.sys 这个文件。这个文件其实是杀毒软件卡巴斯基的一部分,如果病毒找到这个文件,就会修改当前系统时间为 1981-01-12 ,令依赖系统时间进行升级和激活的卡巴斯基失效。

病毒继续运行。它创建线程,查找窗口标题名为"IE 执行保护"、"IE执行保护"、"瑞星卡卡上网安全助手 – IE防漏墙"的窗口。如发现,则向其发送鼠标消息,模拟用户点击鼠标发出的命令,将其关闭。以阻止用户获知系统中的异常。

在病毒运行的后期,它在后台悄悄连接http:/ /www.8**ao***mm.bj.cn 这个由木马种植者指定的地址,下载一批名称为 123.exe 至 128.exe 编号的木马文件,给用户的系统安全引来更多无法估计的威胁。

此外,为扩大传染范围,病毒在电脑的每个磁盘分区下都创建AUTO病毒文件 autorun.inf 和 Dser.exe,只要用户双击磁盘或在中毒电脑上使用U盘等移动存储设备,病毒就会被再次激活,搜寻所有磁盘进行感染。

毒霸反病毒分析师建议用户利用清理专家中的自动运行管理工具,关闭移动设备的自动运行,这样可以极大地阻止病毒利用U盘进行传播。

关于该病毒的详细分析报告,可在金山病毒大百科中查阅:http://vi.duba.net/virus/win32-troj-autorunt-ad-15598-50475.html

金山反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控,防范日益增多的病毒。用户在安装反病毒软件之后,应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报,这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加,所以各类盗号木马必将随之增多,建议用户一定要养成良好的网络使用习惯,及时升级杀毒软件,开启防火墙以及实时监控等功能,切断病毒传播的途径,不给病毒以可乘之机。

金山毒霸反病毒应急中心及时进行了病毒库更新,升级毒霸到2008年3月19的病毒库即可查杀以上病毒;如未安装金山毒霸,可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010-82331816,反病毒专家将为您提供帮助。