近日，江民反病毒中心截獲了“代理”變種ddfc。
江民反病毒專家介紹，Backdoor/Agent.ddfc“代理”變種ddfc是“代理”家族中的最新成員之一，採用“Microsoft Visual C++ 6.0”編寫。“代理”變種ddfc運行後，會提升自身進程許可權，後臺遍曆當前系統正在運行的所有進程，如果發現某些指定的安全軟體存在(360，金山毒霸，瑞星)會採取不同的惡意操作：如果開啟了360殺毒軟體，在“%SystemRoot%\TEMP\”檔夾下釋放惡意DLL組件“svchost.dll”以及惡意檔“svchost.exe”；如果開啟了瑞星或金山毒霸，則創建一個線程，新建線程主要是建立了一個為“瑞星升級程式”的視窗，然後進入消息迴圈，消息迴圈裏不作任何處理。另外，將病毒檔複製到開始功能表啟動項；如果沒有開啟這些殺軟，其將會自我複製到被感染系統的“%SystemRoot%\”檔夾下，重新命名為“Ball.exe”。“代理”變種ddfc運行時，會通過查詢註冊表來獲得QQ的安裝目錄，把“QQ.exe”重新命名為“QQQQ.exe”，然後自我複製到QQ的安裝目錄下；然後將“%SystemRoot%\system32\”目錄下的輸入法程式“ctfmon.exe”重命名為“ctfmon1.exe”，自我複製到“%SystemRoot%\system32\”目錄下，重新命名為“ctfmon.exe”。其還會利用自帶的密碼表對使用弱口令的網上鄰居進行連接，一旦連接成功便會將自身複製到網上鄰居的每個默認共用檔夾中，重新命名為“hackshen.exe”，並會通過創建計畫任務的方式執行。其會秘密連接駭客指定的站點“kai800.3322.org”，偵聽駭客指令，然後在被感染的電腦上執行相應的惡意操作。駭客可通過“代理”變種ddfc完全遠端控制被感染的電腦系統，從而給用戶的個人隱私甚至是企業的商業機密造成不同程度的侵害。“代理”變種ddfc會在系統盤根目錄下創建“autorun.inf”（自動播放配置檔）和後門主程序檔“GHOSTBAK.exe”（“代理”變種ddfc），以此實現雙擊盤符後自動運行的目的，給被感染電腦用戶造成了更多的威脅。
|
