后門程序（“獸門”變種）
Backdoor.Win32.Beastdoor.pa
捕獲時間
2011-09-22
危害等級
高
病毒癥狀
該樣本是使用“Borland Delphi”編寫的后門程序，由微點主動防御軟件自動捕獲，長度為“30,869 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為設立后門，使用戶電腦淪為傀儡主機。
用戶中毒后，可能會出現計算機網絡連接異常，重要文件丟失，系統及網絡緩慢、程序無故關閉等導致用戶隱私泄露及影響用戶使用的現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Backdoor.Win32.Beastdoor.pa”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf
2、手動刪除以下注冊表項：
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱：COM Service
數據：SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數據：SystemRoot%\msagent\msoesb.com
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% 系統所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒運行后，首先會查找是否有名稱為“Beasty”的窗口運行，如果存在，退出自身進程，用于判斷病毒是否重復運行；
2、獲取自身進程，提高自身進程權限，通過注冊表項HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion獲取本地計算機的用戶名，計算機名，服務進程等信息；
3、查找系統目錄%SystemRoot%\system32是否存在名稱為sys.msd、sys.mss等名稱的文件，如果沒有找到，會將自身復制到%SystemRoot%目錄下并重命名為svchost.exe,以偽造正常系統文件，并修改文件屬性為系統屬性，時間設置為系統創建時間；
4、將自身文件分別復制為%SystemRoot%\system32\mstidl.com和%SystemRoot%\msagent\msoesb.com，并修改文件屬性為系統屬性，時間設置為系統創建時間；
5、比較自身進程路徑是否為自身創建的三個文件中的一個，如果不是，會創建進程運行%SystemRoot%\svchost.exe，然后調用命令行刪除自身文件；
6、svchost.exe運行后，會創建名稱為“Beasty”的窗口類，然后創建新線程；
7、線程函數中，查找%SystemRoot%\system32目錄下是否存在mslg.blf文件，如果不存在則創建該文件，并設置文件屬性為系統屬性，后門程序將獲取的用戶信息保存到該文件中；
8、獲取本地時間日期，創建套接字通訊，開放本地6666端口為監聽狀態，這樣用戶服務端程序就開啟了，黑客可以對被感染的主機進行文件管理，進程控制，屏幕監視，鍵盤記錄等多種操作，用戶主機倫為傀儡；
病毒創建文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf
病毒刪除文件：
病毒文件自身
病毒創建注冊表：
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱：COM Service
數據：SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數據：SystemRoot%\msagent\msoesb.com
