后門程序
Backdoor.Win32.Hupigon.aael
捕獲時(shí)間
2011-02-01
危害等級(jí)
中
病毒癥狀
該樣本是使用“VC ”編寫的“后門程序”，由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲,長(zhǎng)度為“697,344”字節(jié)，圖標(biāo)為“
”，使用“exe”擴(kuò)展名，通過文件捆綁、網(wǎng)頁(yè)掛馬、下載器下載等方式進(jìn)行傳播。病毒主要目的是控制用戶電腦。當(dāng)用戶計(jì)算機(jī)感染此木馬病毒后,發(fā)現(xiàn)未知端口開啟，用戶數(shù)據(jù)資料丟失等現(xiàn)象.
感染對(duì)象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁(yè)掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無(wú)須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無(wú)論您是否已經(jīng)升級(jí)到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“未知木馬”，請(qǐng)直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲未知病毒（未升級(jí)）
如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Backdoor.Win32.Hupigon.aael”，請(qǐng)直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動(dòng)防御軟件升級(jí)后截獲已知病毒
未安裝微點(diǎn)主動(dòng)防御軟件的手動(dòng)解決辦法：
手動(dòng)刪除文件
1.刪除%ProgramFiles%\HgzServer\mstsc.exe
2. 刪除病毒源文件
3. 刪除%temp%\IXP000.TMP\111.exe
手動(dòng)刪除注冊(cè)表
1.刪除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
名稱：wextract_cleanup0
數(shù)據(jù)：rundll32.exe C:\WINDOWS\System32\advpack.dll,DelNodeRunDLL32 "C:\DOCUME~1\dishui\LOCALS~1\Temp\IXP000.TMP\"
2.刪除
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cryptographic
名稱：IMAGEPATH
數(shù)據(jù)：C:\Program Files\HgzServer\mstsc.exe
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.病毒獲取系統(tǒng)時(shí)間和文件時(shí)間后，創(chuàng)建一個(gè)無(wú)名的事件對(duì)象，找到相關(guān)資源名稱為：“extractopt”和“instancecheck ”后加載之然后釋放之。如果沒有找到相關(guān)資源，則會(huì)以消息機(jī)制的形式彈出警告對(duì)話框，告訴用戶沒有找到相關(guān)資源。
2.如果找到相關(guān)資源，繼續(xù)查找之。
3.病毒獲得系統(tǒng)目錄路徑，找到"C:\WINDOWS\System32\advapi32.dll"，加載該dll文件，獲取decryptfilea函數(shù)地址后釋放之。
4.病毒在臨時(shí)文件路徑下創(chuàng)建%temp%\IXP000.TMP\111.exe，并創(chuàng)建進(jìn)程以隱藏命令行的形式CommandLine = "C:\DOCUME~1\當(dāng)前用戶\LOCALS~1\Temp\IXP000.TMP\111.exe"啟動(dòng)該進(jìn)程。
5.病毒一直等待信號(hào)，如果得到程序發(fā)出的結(jié)束信號(hào)，就自己退出該程序。
6.否則繼續(xù)病毒運(yùn)行。病毒將%temp%\IXP000.TMP\111.exe設(shè)置為正常屬性，然后刪除之。
7.%temp%\IXP000.TMP\111.exe通過相關(guān)字符串解密開網(wǎng)絡(luò)地址，以便以后病毒利用該網(wǎng)絡(luò)地址。
8.111.exe病毒比較自己是否是"IEXPLORE.EXE"，如果不是，病毒在"C:\Program Files\Internet Explorer\"路徑目錄下遍歷文件"IEXPLORE.EXE"，查找到將"%temp%\IXP000.TMP\111.exe"替換并改名為"C:\Program Files\Internet Explorer\IEXPLORE.EXE"文件，以便用戶訪問網(wǎng)頁(yè)時(shí)候點(diǎn)擊該文件。操作完成以后，該程序退出。
9.如果是，繼續(xù)比較是否是“C:\Program Files\HgzServer\mstsc.exe”,如果直接退出該病毒主程序。如果不是病毒打開互斥體變量“Hacker.com.cn_MUTEX”,主要是防止程序多次運(yùn)行。
10.如果“C:\Program Files\HgzServer\”目錄下有“mstsc.exe”先刪除“C:\Program Files\HgzServer\mstsc.exe”文件，用替換的方式拷貝"%temp%\IXP000.TMP\111.exe"到“C:\Program Files\HgzServer\mstsc.exe”.并將該文件設(shè)置系統(tǒng)隱藏屬性以及創(chuàng)建相關(guān)的服務(wù)項(xiàng): HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cryptographic指向的數(shù)據(jù)為C:\Program Files\HgzServer\mstsc.exe，用戶啟動(dòng)機(jī)器時(shí)候以到達(dá)自啟動(dòng)的目的。
病毒創(chuàng)建文件：
%temp%\IXP000.TMP\111.exe
%ProgramFiles%\HgzServer\mstsc.exe
病毒創(chuàng)建注冊(cè)表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
名稱：wextract_cleanup0
數(shù)據(jù)：rundll32.exe C:\WINDOWS\System32\advpack.dll,DelNodeRunDLL32 "C:\DOCUME~1\dishui\LOCALS~1\Temp\IXP000.TMP\"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cryptographic
名稱：IMAGEPATH
數(shù)據(jù)：C:\Program Files\HgzServer\mstsc.exe
病毒訪問網(wǎng)絡(luò):
linfang19.****.org:8000
