后門程序
Backdoor.Win32.Mazben.q
捕獲時間
2012-05-31
危害等級
中
病毒癥狀
該樣本是使用“Microsoft Visual C ”編寫的“后門程序”，由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“12,817”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是控制用戶機器，竊取用戶信息。用戶中毒后，會出現網絡運行緩慢，網絡端口開啟，運行未知進程等現象
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Backdoor.Win32.Mazben.q”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除以下文件：
"%SystemRoot%\system32\Rzmbtcy.cc3"
"c:\1.exe"
手動刪除或修正注冊表項：
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
\start=MediaCenter"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MediaCenter\"
手動停止并刪除名字為"Media Center"顯示名為"MS Media Control Center"的服務
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.獲取系統目錄，創建文件"C:\WINDOWS\system32\Rzmbtcy.cc3"，將病毒數據寫入該文件，并將其加載到當前進程地址空間。
2.查找"360tray"進程，未找到就調用"Rzmbtcy.cc3"中的Install函數，打開服務控制管理器，創建名字為"MediaCenter"的服務，服務映像指向"%SystemRoot%\System32\svchost.exe –k start"。設置服務注冊表鍵值"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MediaCenter\Description= Provides support for media palyer. This service can't be stoped"，并啟動此服務。
3.設置服務dll文件"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MediaCenter\Parameters\ ServiceDll=C:\WINDOWS
\system32\Rzmbtcy.cc3"。設置服務的入口函數"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MediaCenter\Parameters
\ServiceMain=CAONIMADESHAWO"設置注冊表鍵值"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
\start=MediaCenter"。
4.創建新進程，執行命令"C:\WINDOWS\system32\cmd.exe /c del "病毒文件" > nul"將病毒文件刪除。
5."Rzmbtcy.cc3"作為服務啟動之后，創建名字為"MediaCenter"的互斥對象，開辟多線程， 查找"DSMain.exe(360掃描進程)"進程，找到則將"C:\WINDOWS\system32\Rzmbtcy.cc3"移動到"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rzmbtcy.cc3"，之后重新拷貝到"C:\WINDOWS\system32\Rzmbtcy.cc3"，企圖躲過殺毒軟件掃描。打開url"http://o0.n*ddos.com:8*/r2.exe"下載文件"c:\1.exe"并運行，獲取本地計算機信息，并與遠程地址"1*1.14.2*9.243:8099"通信。
病毒創建文件：
"%Temp%\Rzmbtcy.cc3"
"%SystemRoot%\system32\Rzmbtcy.cc3"
"%SystemDriver%\1.exe"
病毒創建或修改注冊表：
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
\start=MediaCenter"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MediaCenter\"
病毒訪問網絡:
"http://o0.n*ddos.com:8*"
"1*1.14.2*9.243:8099"
