木馬抹掉自身入侵痕跡

范“冰之心”變種aa和“蒼蠅賊”變種nn。

英文名稱：TrojanDownloader.Icehart.aa

中文名稱：“冰之心”變種aa

病毒長度：133632字節

病毒類型：木馬下載器

危險級別：一星

影響平臺：Win 9X/ME/NT/2000/XP/2003

MD5 校驗：062cfd75b3f18245bc604b14deb0273d

特征描述：

TrojanDownloader.Icehart.aa“冰之心”變種aa是“冰之心”家族中的最新成員之一，采用“Microsoft Visual Studio .NET 2005 -- 2008”編寫。自我復制到被感染系統的“%SystemRoot%\system32\”文件夾下，重新命名為“system.exe”。在被感染系統的“%SystemRoot%\system32\”文件夾下釋放惡意程序“efkfk.exe”并在后臺調用執行。該惡意程序運行后會將自身刪除，以此達到消除痕跡的目的。“efkfk.exe”運行時，會將“%SystemRoot%\system32\wininet.dll”復制到“%USERPROFILE%\Local Settings\Temp\”文件夾下，重新命名為“1.tmp”，并且通過其訪問網絡。后臺連接駭客指定的遠程站點“sc.ag*8.com:8080/”，獲取惡意程序下載列表，下載指定的惡意程序“01.jpg”、“02.jpg”等并自動調用運行。其所下載的惡意程序可能為網絡游戲盜號木馬、遠程控制后門或惡意廣告程序（流氓軟件）等，致使用戶面臨更多的威脅。在桌面上創建快捷方式“免費電影C”、“改變你的一生”、“淘寶購物A”，從而對指定的網址http://www.sf*08.com/taobao.htm">www.sf*08.com/taobao.htm進行推廣，給駭客創造了非法的經濟利益。另外，“冰之心”變種aa會在被感染系統注冊表啟動項中添加鍵值，以此實現開機自啟。

英文名稱：TrojanSpy.FlyStudio.nn

中文名稱：“蒼蠅賊”變種nn

病毒長度：1197130字節

病毒類型：間諜木馬

危險級別：一星

影響平臺：Win 9X/ME/NT/2000/XP/2003

MD5 校驗：5fb3df713a6620967997651f8ee2e202

特征描述：

TrojanSpy.FlyStudio.nn“蒼蠅賊”變種nn是“蒼蠅賊”家族中的最新成員之一，采用高級語言編寫，經過加殼保護處理。“蒼蠅賊”變種nn運行后，會在被感染系統的“%USERPROFILE%\Local Settings\Temp\E_4\”文件夾下釋放易語言庫文件“krnln.fnr”、“Exmlrpc.fne”、“dp1.fne”，還會在“%programfiles%\Swuhqwjap\”文件夾下釋放惡意程序“srvany.exe”并自動調用運行。自我復制到被感染系統的“%SystemRoot%\”文件夾下，重新命名為“Vrwrjbfkc.exe”。“蒼蠅賊”變種nn運行時，會秘密連接駭客指定的服務器“z*q.3322.org”、“x*j.8800.org”，偵聽駭客指令，然后在被感染的計算機上執行相應的惡意操作。駭客可通過“蒼蠅賊”變種nn完全遠程控制被感染的計算機系統，從而給用戶的信息安全、個人隱私甚至是商業機密造成無法挽回的損失。其運行完成后，會創建批處理文件“5fb3df713a6620967997651f8ee2e202.exe_And xMe.bat”并調用運行，以此消除痕跡。另外，“蒼蠅賊”變種nn會在被感染計算機中注冊名為“Swuhqwjap”的系統服務，以此實現開機自啟。

木馬病毒很狡猾，我們能做的就只是避免，進而研究新的對抗方法，希望大家提高防范意識，避免造成損失。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]