Backdoor.Win32.Delf.auu

該病毒屬後門類，病毒圖示為DLL檔案的圖示，用以迷惑用戶。病毒運行後衍生病毒檔案到系統目錄下，並在系統根目錄下新建空資料夾Downloads，用以存放以後下載的檔案，病毒進程名為winlogon.exe

基本介紹

  • 外文名：Backdoor.Win32.Delf.auu
  • 病毒類型：後門
  • 公開範圍：完全公開
  • 危害等級：3
  • 檔案 MD5：EABD999F3ED54E94657F042877E2D993
  • 檔案長度：683,520 位元組
  • 感染系統：windwos98以上版本
  • 開發工具：Borland Delphi 6.0 - 7.0
  • 加殼類型：UPX 0.89.6 - 1.02 / 1.05 - 1.24
  • 命名對照： 驅逐艦[BackDoor.Symfly]BitDefender [無]
病毒描述,行為分析,清除方案,

病毒描述

，偽裝成系統進程，但檔案路徑是%system32%\wbem\winlogon.exe。修改註冊表，連線網路。該病毒可以監聽指定進程和連線埠，從而獲取用戶在網路上收發的數據包，盜取用戶敏感信息等。

行為分析

1、病毒運行後衍生病毒檔案到系統目錄下：
%system32%\SysOption.bin
%system32%\wmvdmoes32.dll
%system32%\wbem\winlogon.exe
%system32%\wbem\kbd101ab.dll
%system32%\wbem\SysOption.bin
2、在系統根目錄下新建空資料夾Downloads，用以存放以後下載的檔案。
3、病毒進程名為winlogon.exe，偽裝成系統進程，但檔案路徑是%system32%\wbem\winlogon.exe。
4、修改註冊表：
HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\.fy\
鍵值: 字串: "Permissions"="1"
HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\.fy\
鍵值: 字串: "Runtime"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{881F6F06-4620-4070-AD05-BD77D4C56661}\
鍵值: 字串: "@"="SysBackHelper Object"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{881F6F06-4620-4070-AD05-BD77D4C56661}\LocalServer32\
鍵值: 字串: "@"="病毒所在路徑"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{468262B9-8400-4A49-B2E5CE8550EB1347}\ProxyStubClsid\
鍵值: 字串: "@"="{00020424-0000-0000-C000-000000000046}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{468262B9-8400-4A49-B2E5-CE8550EB1347}\TypeLib\
鍵值: 字串: "Version"="1.0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VCFIWZDY32.VCFIWZDY\
鍵值: 字串: "@"="SysBackHelper Object"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VCFIWZDY32.VCFIWZDY\Clsid\
鍵值: 字串: "@"="{881F6F06-4620-4070-AD05-BD77D4C56661}"
5、連線網路，下載病毒檔案和廣告件，但均已失效：
http://update.j7y.net/NewUpdate/wbem\lsass.exe
6、該病毒可以監聽指定進程和連線埠，從而獲取用戶在網路上收發的數據包，盜取用戶敏感信息等。
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
winlogon.exe
(2) 刪除病毒檔案
%system32%\SysOption.bin
%system32%\wmvdmoes32.dll
%system32%\wbem\winlogon.exe
%system32%\wbem\kbd101ab.dll
%system32%\wbem\SysOption.bin
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\.fy\
鍵值: 字串: "Permissions"="1"
HKEY_CURRENT_USER\Software\Microsoft\MediaPlayer\Player\Extensions\.fy\
鍵值: 字串: "Runtime"="1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{881F6F06-4620-4070-AD05-BD77D4C56661}\
鍵值: 字串: "@"="SysBackHelper Object"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{881F6F06-4620-4070-AD05BD77D4C56661}\LocalServer32\
鍵值: 字串: "@"="病毒所在路徑"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{468262B9-8400-4A49-B2E5-CE8550EB1347}\ProxyStubClsid\
鍵值: 字串: "@"="{00020424-0000-0000-C000-000000000046}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{468262B9-8400-4A49-B2E5-CE8550EB1347}\TypeLib\
鍵值: 字串: "Version"="1.0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VCFIWZDY32.VCFIWZDY\
鍵值: 字串: "@"="SysBackHelper Object"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VCFIWZDY32.VCFIWZDY\Clsid\
鍵值: 字串: "@"="{881F6F06-4620-4070-AD05-BD77D4C56661}"

熱門詞條

聯絡我們