這是一個運行在NT系統的很具有迷惑性的後門病毒。用戶電腦被安裝該後門以後，該病毒將自己複製到系統目錄並將它啟動為系統服務進程，複製後的檔案名稱與任務管理器名字僅僅最後一個字母不同，很容易讓人誤以為是任務管理器。
基本介紹
- 中文名：虛幻後門
- 外文名：Win32.Troj.SBackdoor
- 病毒類型：木馬
- 影響系統：WinNT
- 威脅系統：★★
病毒簡介,病毒行為,
病毒簡介
病毒創建的服務名字是：WindowSocketAPIService，對該服務的描述是：“傳輸客戶端和伺服器之間的網路程式藉口(API)服務訊息。如果服務停止，socket API 訊息不會被傳輸。如果服務被禁用，任何直接依賴於此服務的服務將無法啟動。”，偽裝成系統服務的模樣，企圖以假亂真。然後它打開後門供攻擊者訪問並控制中毒電腦。攻擊者可以啟動/停止木馬、關閉電腦、列舉進程、關閉指定進程、列舉服務、關閉指定服務、攻擊指定的IP的指定連線埠、下載並運行網路上指定的程式、清除日誌等。
病毒行為
1.當該木馬安裝以後，它將自己複製為%System%\taskmgn.exe，並將它啟動為服務進程。
2.創建服務WindowSocketAPIService，修改註冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WindowSocketAPIService
"Type"=dword:00000010
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=<病毒程式的全路徑的十六進制UNICODE碼>
"DisplayName"="Window Socket API Service"
"ObjectName"="LocalSystem"
"Description"="傳輸客戶端和伺服器之間的網路程式藉口(API)服務訊息。如果服務停止，socket API 訊息不會被傳輸。如果服務被禁用，任何直接依賴於此服務的服務將無法啟動。"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WindowSocketAPIService\Security]
"Security"=<系統相關的十六進制碼>
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WindowSocketAPIService\Enum]
"0"="Root\\LEGACY_WINDOWSOCKETAPISERVICE\\0000"
"Count"=dword:00000001
"NextInstance"=dword:00000001
3.安裝該木馬後，它在TCP連線埠3043開設後門。
4.攻擊者可以對中此木馬的電腦作一下操作：
啟動（-run）/卸載（-remove）木馬；
重啟系統（-rboot）；
關閉系統（-shutdown）；
列舉進程（-enumpro）；
殺指定ID的進程（-killpro processId）；
列舉服務（-enumsrv）；
殺指定服務名的服務（-killsrv ServiceName）；
列舉系統信息（-sinfo），包括記憶體信息、系統版本信息、系統運行時間、計算機名、Window安裝目錄以及系統目錄等等；
攻擊指定IP的指定連線埠（-synip port）；
從指定的網址下載檔案到當前目錄的指定檔案（-download ip filename）；
清理日誌（-cleanlog）；
幫助信息（-help）。
