| |
"袜子虫"利用ROOTKIT技术挂接系统 |
|
2008年07月02日 17:41 天空软件站
|
天空软件站今日提醒您注意：在今天的病毒中Trojan/Soul.t“灵木马”变种t和Worm/Socks.d“袜子虫”变种d值得关注。
病毒名称：Trojan/Soul.t
中 文 名：“灵木马”变种t
病毒长度：85504字节
病毒类型：木马
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
Trojan/Soul.t“灵木马”变种t是“灵木马”木马家族的最新成员之一，采用高级语言编写，并经过添加保护壳处理。“灵木马”变种t运行后，自我复制到被感染计算机的“%SystemRoot%\system32\”目录下，重命名为“110.exe”，并在相同目录下释放病毒组件“Soul.dll”。自我注册为系统服务，实现木马开机自动运行。将恶意代码注入到系统进程中加载运行，隐藏自我，躲避某些杀毒软件的查杀以及防火墙的拦截。秘密连接骇客指定站点，骇客可通过“灵木马”变种t远程完全控制被感染的计算机，进行的恶意操作包括：文件操作、进程操作、注册表操作、服务操作、屏幕监控，键盘记录、命令操作等，给用户的个人隐私，甚至商业机密造成严重威胁。
病毒名称：Worm/Socks.d
中 文 名：“袜子虫”变种d
病毒长度：172032字节
病毒类型：蠕虫
危险级别：★★
影响平台：Win 9X/ME/NT/2000/XP/2003
Worm/Socks.d“袜子虫”变种d是“袜子虫”蠕虫家族的最新成员之一，采用高级语言编写，并经过添加保护壳处理。“袜子虫”变种d运行后，在被感染计算机系统的“%SystemRoot%\system32\drivers\”目录下释放一个恶意的驱动程序文件“qandr.sys”。将“qandr.sys”注册为系统服务，实现蠕虫开机自动运行。利用Rootkit技术，采用“SSDT HOOK”技术挂接了系统中的“NtEnumerateKey”和“NtOpenKey”API函数，采用“FSD inline HOOK”技术挂接了系统文件过滤驱动中的“IRP_MJ_DIRECTORY_CONTROL”请求，隐藏自我，防止被查杀。一旦用户计算机感染该病毒则很难清除干净。“袜子虫”变种d可能是一个驱动级的后门程序，会给被感染计算机用户带来潜在的危险，同时会带去不同程度的损失。另外，“袜子虫”变种d会在系统临时文件夹下创建一个批处理程序文件，当恶意驱动程序文件“qandr.sys”安装完毕后调用这个批处理程序实现自我删除。
建议大家及时升级自己电脑杀毒软件，以防万一！
|
|
【推荐】【打印】【大 中 小】【关闭窗口】
|
|
|
|
 |
| 推荐：图片搜索 |
|
