后門程序（“獸門”變種）
Backdoor.Win32.Beastdoor.pa
捕獲時間
2011-09-22
危害等級
高
病毒癥狀
該樣本是使用“Borland Delphi”編寫的后門程序，由微點主動防御軟件自動捕獲，長度為“30,869 字節(jié)”，圖標(biāo)為“ ”，病毒擴(kuò)展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網(wǎng)頁掛馬”等方式傳播，病毒主要目的為設(shè)立后門，使用戶電腦淪為傀儡主機。
用戶中毒后，可能會出現(xiàn)計算機網(wǎng)絡(luò)連接異常，重要文件丟失，系統(tǒng)及網(wǎng)絡(luò)緩慢、程序無故關(guān)閉等導(dǎo)致用戶隱私泄露及影響用戶使用的現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設(shè)置，微點主動防御將自動保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點主動防御軟件升級到最新版本，微點將報警提示您發(fā)現(xiàn)木馬"Backdoor.Win32.Beastdoor.pa”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf
2、手動刪除以下注冊表項：
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% 系統(tǒng)所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒運行后，首先會查找是否有名稱為“Beasty”的窗口運行，如果存在，退出自身進(jìn)程，用于判斷病毒是否重復(fù)運行；
2、獲取自身進(jìn)程，提高自身進(jìn)程權(quán)限，通過注冊表項HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion獲取本地計算機的用戶名，計算機名，服務(wù)進(jìn)程等信息；
3、查找系統(tǒng)目錄%SystemRoot%\system32是否存在名稱為sys.msd、sys.mss等名稱的文件，如果沒有找到，會將自身復(fù)制到%SystemRoot%目錄下并重命名為svchost.exe,以偽造正常系統(tǒng)文件，并修改文件屬性為系統(tǒng)屬性，時間設(shè)置為系統(tǒng)創(chuàng)建時間；
4、將自身文件分別復(fù)制為%SystemRoot%\system32\mstidl.com和%SystemRoot%\msagent\msoesb.com，并修改文件屬性為系統(tǒng)屬性，時間設(shè)置為系統(tǒng)創(chuàng)建時間；
5、比較自身進(jìn)程路徑是否為自身創(chuàng)建的三個文件中的一個，如果不是，會創(chuàng)建進(jìn)程運行%SystemRoot%\svchost.exe，然后調(diào)用命令行刪除自身文件；
6、svchost.exe運行后，會創(chuàng)建名稱為“Beasty”的窗口類，然后創(chuàng)建新線程；
7、線程函數(shù)中，查找%SystemRoot%\system32目錄下是否存在mslg.blf文件，如果不存在則創(chuàng)建該文件，并設(shè)置文件屬性為系統(tǒng)屬性，后門程序?qū)@取的用戶信息保存到該文件中；
8、獲取本地時間日期，創(chuàng)建套接字通訊，開放本地6666端口為監(jiān)聽狀態(tài)，這樣用戶服務(wù)端程序就開啟了，黑客可以對被感染的主機進(jìn)行文件管理，進(jìn)程控制，屏幕監(jiān)視，鍵盤記錄等多種操作，用戶主機倫為傀儡；
病毒創(chuàng)建文件：
%SystemRoot%\svchost.exe
%SystemRoot%\system32\mstidl.com
%SystemRoot%\msagent\msoesb.com
%SystemRoot%\system32\mslg.blf
病毒刪除文件：
病毒文件自身
病毒創(chuàng)建注冊表：
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{42CE4021-DE03-E3CC-EA32-40BB12E6015D}
StubPath %SystemRoot%\system32\mstidl.com
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
名稱：COM Service
數(shù)據(jù)：SystemRoot%\msagent\msoesb.com |
