后門程序
Backdoor.Win32.Wuca.je
捕獲時(shí)間
2012-01-10
危害等級(jí)
中
病毒癥狀
該樣本是使用“Microsoft Visual C ”編寫的“后門程序”，由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲, 采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“14,858 ”字節(jié)，圖標(biāo)為“
”，使用“exe”擴(kuò)展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進(jìn)行傳播。病毒主要目的是控制用戶機(jī)器，竊取用戶信息。用戶中毒后，會(huì)出現(xiàn)網(wǎng)絡(luò)運(yùn)行緩慢，網(wǎng)絡(luò)端口開啟，運(yùn)行未知進(jìn)程等現(xiàn)象
感染對(duì)象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級(jí)到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“未知木馬”，請(qǐng)直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲未知病毒（未升級(jí)）
如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Backdoor.Win32.Wuca.je ”，請(qǐng)直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動(dòng)防御軟件升級(jí)后截獲已知病毒
未安裝微點(diǎn)主動(dòng)防御軟件的手動(dòng)解決辦法：
手動(dòng)刪除文件
1．刪除 %ProgramFiles%\Common Files\%SESSIONNAME%\conlme.exe
2．刪除 %Documents and Settings%\All Users\「開始」菜單\程序\啟動(dòng)\tencenk.lnk
恢復(fù)注冊(cè)表鍵值
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
鍵值 ： "C:\Program Files\Internet Explorer\iexplore.exe"
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1、讀取"C:\WINDOWS\system32\config\default"文件，運(yùn)行命令行"cmd /c taskkill /im cfmon.exe /f"、"cmd /c taskkill /im conlme.exe /f"結(jié)束進(jìn)程cfmon.exe、conlme.exe。
2、創(chuàng)建"C:\Program Files\Common Files\%SESSIONNAME%"文件夾，將屬性設(shè)置為系統(tǒng)、隱藏，將樣本復(fù)制為"C:\Program Files\Common Files\%SESSIONNAME%\conlme.exe"，修改文件的時(shí)間信息，并添加惡意代碼，然后運(yùn)行該文件。
3、運(yùn)行命令行cmd /c del "C:\Documents and Settings\Administrator\桌面\sample.exe"刪除樣本文件。
4、"C:\PROGRA~1\COMMON~1\%SESSI~1\conlme.exe"運(yùn)行后，創(chuàng)建"C:\Program Files\QPW.VBE"文件（文件名隨機(jī)），以參數(shù)“open”運(yùn)行"C:\Program Files\QPW.VBE"（文件名隨機(jī)）修改主頁為www.07***.com。
5、從"http://d.qq***.com/b.jpg"下載惡意代碼，并運(yùn)行。
6、創(chuàng)建快捷方式"C:\Documents and Settings\All Users\「開始」菜單\程序\啟動(dòng)\tencenk.lnk"指向"C:\Program Files\Common Files\%SESSIONNAME%\conlme.exe"，達(dá)到開機(jī)啟動(dòng)的目的。
7、刪除"C:\Program Files\QPW.VBE"（文件名隨機(jī)）。
8、創(chuàng)建計(jì)劃任務(wù)，定時(shí)訪問http://gbh.***.us/p/ug.exe，獲取指令，然后進(jìn)行相應(yīng)的惡意操作。
9、修改HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command的值為""C:\Program Files\Internet Explorer\iexplore.exe" http://www.52***.com/"。
病毒創(chuàng)建文件：
%ProgramFiles%\Common Files\%SESSIONNAME%\conlme.exe
%ProgramFiles%\QPW.VBE"（文件名隨機(jī)）
%Documents and Settings%\All Users\「開始」菜單\程序\啟動(dòng)\tencenk.lnk
病毒創(chuàng)建注冊(cè)表：
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
鍵值 ：""C:\Program Files\Internet Explorer\iexplore.exe" http://www.52***.com/"
病毒訪問網(wǎng)絡(luò)：
http://d.qq***.com/b.jpg
http://www.07***.com
http://gbh.***.us/p/ug.exe
http://www.52***.com/
