木马抹掉自身入侵痕迹

木马病毒资料如下：

范“冰之心”变种aa和“苍蝇贼”变种nn。

英文名称：TrojanDownloader.Icehart.aa

中文名称：“冰之心”变种aa

病毒长度：133632字节

病毒类型：木马下载器

危险级别：一星

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：062cfd75b3f18245bc604b14deb0273d

特征描述：

TrojanDownloader.Icehart.aa“冰之心”变种aa是“冰之心”家族中的最新成员之一，采用“Microsoft Visual Studio .NET 2005 — 2008”编写。自我复制到被感染系统的“%SystemRoot%\system32\”文件夹下，重新命名为“system.exe”。在被感染系统的“%SystemRoot%\system32\”文件夹下释放恶意程序“efkfk.exe”并在后台调用执行。该恶意程序运行后会将自身删除，以此达到消除痕迹的目的。“efkfk.exe”运行时，会将“%SystemRoot%\system32\wininet.dll”复制到“%USERPROFILE%\Local Settings\Temp\”文件夹下，重新命名为“1.tmp”，并且通过其访问网络。后台连接骇客指定的远程站点“sc.ag*8.com:8080/”，获取恶意程序下载列表，下载指定的恶意程序“01.jpg”、“02.jpg”等并自动调用运行。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，致使用户面临更多的威胁。在桌面上创建快捷方式“免费电影C”、“改变你的一生”、“淘宝购物A”，从而对指定的网址http://www.sf*08.com/taobao.htm”>www.sf*08.com/taobao.htm进行推广，给骇客创造了非法的经济利益。另外，“冰之心”变种aa会在被感染系统注册表启动项中添加键值，以此实现开机自启。

英文名称：TrojanSpy.FlyStudio.nn

中文名称：“苍蝇贼”变种nn

病毒长度：1197130字节

病毒类型：间谍木马

危险级别：一星

影响平台：Win 9X/ME/NT/2000/XP/2003

MD5 校验：5fb3df713a6620967997651f8ee2e202

特征描述：

TrojanSpy.FlyStudio.nn“苍蝇贼”变种nn是“苍蝇贼”家族中的最新成员之一，采用高级语言编写，经过加壳保护处理。“苍蝇贼”变种nn运行后，会在被感染系统的“%USERPROFILE%\Local Settings\Temp\E_4\”文件夹下释放易语言库文件“krnln.fnr”、“Exmlrpc.fne”、“dp1.fne”，还会在“%programfiles%\Swuhqwjap\”文件夹下释放恶意程序“srvany.exe”并自动调用运行。自我复制到被感染系统的“%SystemRoot%\”文件夹下，重新命名为“Vrwrjbfkc.exe”。“苍蝇贼”变种nn运行时，会秘密连接骇客指定的服务器“z*q.3322.org”、“x*j.8800.org”，侦听骇客指令，然后在被感染的计算机上执行相应的恶意操作。骇客可通过“苍蝇贼”变种nn完全远程控制被感染的计算机系统，从而给用户的信息安全、个人隐私甚至是商业机密造成无法挽回的损失。其运行完成后，会创建批处理文件“5fb3df713a6620967997651f8ee2e202.exe_And xMe.bat”并调用运行，以此消除痕迹。另外，“苍蝇贼”变种nn会在被感染计算机中注册名为“Swuhqwjap”的系统服务，以此实现开机自启。

木马病毒很狡猾，我们能做的就只是避免，进而研究新的对抗方法，希望大家提高防范意识，避免造成损失。

【编辑推荐】