后門程序（“獸門”變種）
Backdoor.Win32.Beastdoor.pa
捕獲時(shí)間
2011-09-22
危害等級(jí)
高
病毒癥狀
該樣本是使用“Borland Delphi”編寫的后門程序，由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲，長(zhǎng)度為“30,869 字節(jié)”，圖標(biāo)為“
”，病毒擴(kuò)展名為“exe”，主要通過(guò)“文件捆綁”、“下載器下載”、“網(wǎng)頁(yè)掛馬”等方式傳播，病毒主要目的為設(shè)立后門，使用戶電腦淪為傀儡主機(jī)。
用戶中毒后，可能會(huì)出現(xiàn)計(jì)算機(jī)網(wǎng)絡(luò)連接異常，重要文件丟失，系統(tǒng)及網(wǎng)絡(luò)緩慢、程序無(wú)故關(guān)閉等導(dǎo)致用戶隱私泄露及影響用戶使用的現(xiàn)象。
感染對(duì)象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁(yè)掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無(wú)須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無(wú)論您是否已經(jīng)升級(jí)到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒(méi)有將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“未知木馬”，請(qǐng)直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲未知病毒（未升級(jí)）
如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Backdoor.Win32.Beastdoor.pa”，請(qǐng)直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動(dòng)防御軟件升級(jí)后截獲已知病毒
未安裝微點(diǎn)主動(dòng)防御軟件的手動(dòng)解決辦法：
1、手動(dòng)刪除以下文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf
2、手動(dòng)刪除以下注冊(cè)表項(xiàng)：
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% 系統(tǒng)所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒運(yùn)行后，首先會(huì)查找是否有名稱為“Beasty”的窗口運(yùn)行，如果存在，退出自身進(jìn)程，用于判斷病毒是否重復(fù)運(yùn)行；
2、獲取自身進(jìn)程，提高自身進(jìn)程權(quán)限，通過(guò)注冊(cè)表項(xiàng)HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion獲取本地計(jì)算機(jī)的用戶名，計(jì)算機(jī)名，服務(wù)進(jìn)程等信息；
3、查找系統(tǒng)目錄%SystemRoot%\system32是否存在名稱為sys.msd、sys.mss等名稱的文件，如果沒(méi)有找到，會(huì)將自身復(fù)制到%SystemRoot%目錄下并重命名為svchost.exe,以偽造正常系統(tǒng)文件，并修改文件屬性為系統(tǒng)屬性，時(shí)間設(shè)置為系統(tǒng)創(chuàng)建時(shí)間；
4、將自身文件分別復(fù)制為%SystemRoot%\system32\mstidl.com和%SystemRoot%\msagent\msoesb.com，并修改文件屬性為系統(tǒng)屬性，時(shí)間設(shè)置為系統(tǒng)創(chuàng)建時(shí)間；
5、比較自身進(jìn)程路徑是否為自身創(chuàng)建的三個(gè)文件中的一個(gè)，如果不是，會(huì)創(chuàng)建進(jìn)程運(yùn)行%SystemRoot%\svchost.exe，然后調(diào)用命令行刪除自身文件；
6、svchost.exe運(yùn)行后，會(huì)創(chuàng)建名稱為“Beasty”的窗口類，然后創(chuàng)建新線程；
7、線程函數(shù)中，查找%SystemRoot%\system32目錄下是否存在mslg.blf文件，如果不存在則創(chuàng)建該文件，并設(shè)置文件屬性為系統(tǒng)屬性，后門程序?qū)@取的用戶信息保存到該文件中；
8、獲取本地時(shí)間日期，創(chuàng)建套接字通訊，開(kāi)放本地6666端口為監(jiān)聽(tīng)狀態(tài)，這樣用戶服務(wù)端程序就開(kāi)啟了，黑客可以對(duì)被感染的主機(jī)進(jìn)行文件管理，進(jìn)程控制，屏幕監(jiān)視，鍵盤記錄等多種操作，用戶主機(jī)倫為傀儡；
病毒創(chuàng)建文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf
病毒刪除文件：
病毒文件自身
病毒創(chuàng)建注冊(cè)表：
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
