关注恶意软件:
- 名称:“收藏夹推广器”木马(Trojan-Dropper.Win32.StartPage.bfl)
- 大小:275 KB
- 是否加壳:是
- 加壳方式:UPX
- 影响的平台:WIN9X/ME/NT/2000/XP/2003/Vista/Win7
创建文件:
C:\WINDOWS\temp\SuperHidden.reg
C:\WINDOWS\temp\ie.reg
C:\Documents and Settings\Administrator\Favorites\2345网址导航-中国最好的网址站.url
C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick
Launch\启动 Internet Explorer 浏览器.lnk
修改注册表:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
"Start Page"="http://www.23xx.com/?ns6"
HKEY_CLASSES_ROOT\CLSID\{00000000-0000-0000-0000-000000000012}\Instance\InitPropertyBag
"method"="ShellExecute"
"Param1"="SuperHidden.vbs"
"command"="显示/隐藏系统文件+扩展名"
"CLSID"="{13709620-C279-11CE-A49E-444553540000}"
HKEY_CLASSES_ROOT\CLSID\{00000ff000-0000-0000-0000-000000000012}\InProcServer32@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,00,68,00,\
64,00,6f,00,63,00,76,00,77,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"
行为描述:
该木马表面上很像某款系统优化工具,实际运行后会删除用户收藏夹保存的所有地址,创建新的收藏页面指向www.23xx.com。同时,会修改默认首页指向www.23xx.com。并且会修改注册表,使得系统不显示隐藏文件和系统文件。
该恶意程序还会添加右键菜单,内容为“显示/隐藏系统文件+扩展名”,点击后会执行SuperHidden.vbs,但是此木马并没有创建SuperHidden.vbs文件。所以,很有可能另有其他黑客同伙的木马程序释放。
其中的注册表项HKEY_CLASSES_ROOT\CLSID\{00000000-0000-0000-0000-000000000012}
\Instance\InitPropertyBag可用于向右键菜单中添加菜单项,使得点击菜单项时执行"Param1"所指向的VBS代码或文件。此处可被木马作者用来创建欺骗性的右键菜单项,诱使用户执行恶意VBS代码。
专家预防建议:
- 1.建立良好的安全习惯,不打开可疑邮件和可疑网站。
- 2.不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。
- 3.使用移动介质时最好使用鼠标右键打开使用,必要时先要进行扫描。
- 4.现在有很多利用系统漏洞传播的病毒,所以给系统打全补丁也很关键。
- 5.安装专业的防毒软件升级到最新版本,并开启实时监控功能。
- 6.为本机管理员账号设置较为复杂的密码,预防病毒通过密码猜测进行传播,最好是数字与字母组合的密码。
- 7.不要从不可靠的渠道下载软件,因为这些软件很可能是带有病毒的。
|