| 订阅 | 在线投稿
分享
 
 
 

病毒预警:“超级AV终结者”能力极强

来源:互联网  宽屏版  评论
2008-12-04 19:03:40

“超级AV终结者”(Win32.TrojDownloader.NsPassT.bm.50688),这是一个对抗能力极强的下载器。它结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点,行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播,对抗安全软件,下载大量的木马。由于带有穿透功能,对网吧和局域网用户影响很大。

“木马控制器57344”(Win32.Troj.Ghosty.a.57344),这是一个远程木马。它会在用户电脑中建立后门,为黑客入侵提供帮助。

一、“超级AV终结者”(Win32.TrojDownloader.NsPassT.bm.50688)威胁级别:★★★

进入2008年的最后一个月,病毒作者的活动越发猖獗。昨日,金山毒霸反病毒工程师捕获一款高危病毒下载器Win32.TrojDownloader.NsPassT.bm.50688。该下载器结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点,行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播,对抗安全软件,下载大量的木马。由于带有穿透功能,对网吧和局域网用户影响很大。

此病毒非常狡猾,它在进入系统后,不会立即运行,而是查找系统中是否存在OllyICE.exe、OllyDbg.exe、ImportREC.exe、C32Asm.exe、LordPE.exe、PEditor.exe等反病毒工作人员经常使用的工具,如果存在,就会立刻关闭自己、退出运行。很明显,它想刻意逃避反病毒工程师的分析。

而该毒的危害性主要体现在它强大的对抗能力。由于同时综合了AV终结者、机器狗、扫荡波的特点,从未有任何病毒的对抗能力像此毒一样凶猛。它在进入系统后,首先会恢复系统SSDT表,一旦SSDT表被恢复,就意味着该毒可以穿透任何一款系统还原软件的防线。

同时,它按照自带的一份“黑名单”搜索安全软件,只要发现用户安装得有安全软件,就调将其关闭。毒霸反病毒工程师检查它的“黑名单”后发现,这份名单非常庞大,几乎所有网上能搜索到的安全软件,都是该毒的关闭目标。

事情还没完,如果仅仅是关闭,那么用户还可以重新启动这些安全软件。病毒作者当然不会允许这种事情发生,他给病毒设置了映像劫持功能,劫持这些安全软件的进程。如果用户试图启动它们,唯一的结果就是把病毒再激活一次而已。而为阻止用户向安全软件厂商求助,病毒会屏蔽许多安全软件的官网。

当解决了“碍事”的安全软件,病毒才放心大胆的读取用户MAC地址,并解密自己的配置文件,获取下载列表,下载大量的盗号木马到用户电脑中运行——这才是它的最终目的。该毒在成功占领一台电脑后,就开始对局域网内的其它电脑实施攻击。它搜索局域网中所有存在MS08067漏洞的电脑,利用漏洞将自己发送到这些电脑上。同时,对所有的电脑展开ARP攻击,劫持用户所浏览网页上的链接,如果用户点击链接,就会被引导到病毒作者安排好的广告网址,或者下载包括该毒在内的一些恶意程序。为确保攻击成功,该毒还会释放出一个扫荡波病毒,协助自己进行攻击。

必须提及的是,该毒的ARP攻击频率达到令人惊讶的地步,在毒霸反病毒工程师的测试中,该毒对局域网的ARP攻击竟然高达每分钟1万次以上,在三分钟不到的时间里,就能阻塞由数百台电脑组成的局域网。当攻击达到最高峰时,电脑甚至连病毒作者自己指定的网址也无法访问,这种现象可谓是疯狂至极。

仅仅在局域网中传播,病毒作者并不满足。为实现更大范围的传播,该毒在执行上述破坏过程时,还会遍历驱动器,在非a:\和b:\的磁盘分区的根目录下创建AUTO文件autorun.inf和system.dll。一旦用户在中毒电脑上使用U盘等移动存储设备,病毒就会自动将其传染。当在U盘插入另一台电脑时,它又会将该电脑传染,这样就实现了自动传播。

综合目前对该毒的分析,以及实际的染毒测试来看,该毒无疑毒霸反病毒工程师今年目前为止所发现最凶猛的病毒之一。

根据毒霸反病毒工程师的监测,目前该毒仍在进化中,病毒作者似乎对参考学习其它对抗型病毒的“功夫”很感兴趣,几乎每个变种都会加入新的对抗手段。病毒更新的频率也比较高,每天都会有更新,这也就造成了传统的查杀办法难以应对该毒威胁。

毒霸已经可以查杀此病毒,升级病毒库到最新版本并开启实时监控就可以防御,网吧和企业等局域网用户需要下载ARP防火墙,以防止其他机器的攻击。

如果您已安装其它厂商的杀毒软件,不便卸载。那么,针对该毒的高危特性和频繁更新,毒霸反病毒工程师推荐使用免费的金山系统急救箱对系统进行清理,然后用毒霸和金山清理专家彻底清除被该毒下载到电脑中的木马,并修复系统受到的破坏。

“金山系统急救箱”下载地址http://bbs.duba.net/thread-21988813-1-1.html

金山ARP防火墙下载地址:http://buy.duba.net/download/index.shtml#fhq

关于该病毒的详细分析报告,可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-trojdownloader-nspasst-bm-50688-52647.html二、“木马控制器57344”(Win32.Troj.Ghosty.a.57344)威胁级别:★

该毒行为简单,对系统不具备直接的破坏能力,但会开启敏感端口,建立后门。黑客借助其帮助,可对用户电脑执行任何想要的控制。

该毒在进入系统后,释放出子文件avgupdt.exe和lsass.exe到%WINDOWS%\SYSTEM32\2054913864\目录下,此目录是随机命名,反而容易被用户发现。

当修改注册表启动项、实现开机自启动后,病毒就会运行起来,连接病毒作者指定的黑客服务器,等待黑客指令。

关于该病毒的详细分析报告,可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-troj-ghosty-57344-52643.html

金山反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控,防范日益增多的病毒。用户在安装反病毒软件之后,应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报,这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加,所以各类盗号木马必将随之增多,建议用户一定要养成良好的网络使用习惯,如不要登录不良网站、不要进行非法下载等,切断病毒传播的途径,不给病毒以可乘之机。

金山毒霸反病毒应急中心及时进行了病毒库更新,升级毒霸到2008年12月3日的病毒库即可查杀以上病毒;如未安装金山毒霸,可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816,反病毒专家将为您提供帮助。

  “超级AV终结者”(Win32.TrojDownloader.NsPassT.bm.50688),这是一个对抗能力极强的下载器。它结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点,行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播,对抗安全软件,下载大量的木马。由于带有穿透功能,对网吧和局域网用户影响很大。   “木马控制器57344”(Win32.Troj.Ghosty.a.57344),这是一个远程木马。它会在用户电脑中建立后门,为黑客入侵提供帮助。   一、“超级AV终结者”(Win32.TrojDownloader.NsPassT.bm.50688)威胁级别:★★★   进入2008年的最后一个月,病毒作者的活动越发猖獗。昨日,金山毒霸反病毒工程师捕获一款高危病毒下载器Win32.TrojDownloader.NsPassT.bm.50688。该下载器结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点,行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播,对抗安全软件,下载大量的木马。由于带有穿透功能,对网吧和局域网用户影响很大。   此病毒非常狡猾,它在进入系统后,不会立即运行,而是查找系统中是否存在OllyICE.exe、OllyDbg.exe、ImportREC.exe、C32Asm.exe、LordPE.exe、PEditor.exe等反病毒工作人员经常使用的工具,如果存在,就会立刻关闭自己、退出运行。很明显,它想刻意逃避反病毒工程师的分析。   而该毒的危害性主要体现在它强大的对抗能力。由于同时综合了AV终结者、机器狗、扫荡波的特点,从未有任何病毒的对抗能力像此毒一样凶猛。它在进入系统后,首先会恢复系统SSDT表,一旦SSDT表被恢复,就意味着该毒可以穿透任何一款系统还原软件的防线。   同时,它按照自带的一份“黑名单”搜索安全软件,只要发现用户安装得有安全软件,就调将其关闭。毒霸反病毒工程师检查它的“黑名单”后发现,这份名单非常庞大,几乎所有网上能搜索到的安全软件,都是该毒的关闭目标。   事情还没完,如果仅仅是关闭,那么用户还可以重新启动这些安全软件。病毒作者当然不会允许这种事情发生,他给病毒设置了映像劫持功能,劫持这些安全软件的进程。如果用户试图启动它们,唯一的结果就是把病毒再激活一次而已。而为阻止用户向安全软件厂商求助,病毒会屏蔽许多安全软件的官网。   当解决了“碍事”的安全软件,病毒才放心大胆的读取用户MAC地址,并解密自己的配置文件,获取下载列表,下载大量的盗号木马到用户电脑中运行——这才是它的最终目的。  该毒在成功占领一台电脑后,就开始对局域网内的其它电脑实施攻击。它搜索局域网中所有存在MS08067漏洞的电脑,利用漏洞将自己发送到这些电脑上。同时,对所有的电脑展开ARP攻击,劫持用户所浏览网页上的链接,如果用户点击链接,就会被引导到病毒作者安排好的广告网址,或者下载包括该毒在内的一些恶意程序。为确保攻击成功,该毒还会释放出一个扫荡波病毒,协助自己进行攻击。   必须提及的是,该毒的ARP攻击频率达到令人惊讶的地步,在毒霸反病毒工程师的测试中,该毒对局域网的ARP攻击竟然高达每分钟1万次以上,在三分钟不到的时间里,就能阻塞由数百台电脑组成的局域网。当攻击达到最高峰时,电脑甚至连病毒作者自己指定的网址也无法访问,这种现象可谓是疯狂至极。   仅仅在局域网中传播,病毒作者并不满足。为实现更大范围的传播,该毒在执行上述破坏过程时,还会遍历驱动器,在非a:\和b:\的磁盘分区的根目录下创建AUTO文件autorun.inf和system.dll。一旦用户在中毒电脑上使用U盘等移动存储设备,病毒就会自动将其传染。当在U盘插入另一台电脑时,它又会将该电脑传染,这样就实现了自动传播。   综合目前对该毒的分析,以及实际的染毒测试来看,该毒无疑毒霸反病毒工程师今年目前为止所发现最凶猛的病毒之一。   根据毒霸反病毒工程师的监测,目前该毒仍在进化中,病毒作者似乎对参考学习其它对抗型病毒的“功夫”很感兴趣,几乎每个变种都会加入新的对抗手段。病毒更新的频率也比较高,每天都会有更新,这也就造成了传统的查杀办法难以应对该毒威胁。   毒霸已经可以查杀此病毒,升级病毒库到最新版本并开启实时监控就可以防御,网吧和企业等局域网用户需要下载ARP防火墙,以防止其他机器的攻击。   如果您已安装其它厂商的杀毒软件,不便卸载。那么,针对该毒的高危特性和频繁更新,毒霸反病毒工程师推荐使用免费的金山系统急救箱对系统进行清理,然后用毒霸和金山清理专家彻底清除被该毒下载到电脑中的木马,并修复系统受到的破坏。   “金山系统急救箱”下载地址http://bbs.duba.net/thread-21988813-1-1.html   金山ARP防火墙下载地址:http://buy.duba.net/download/index.shtml#fhq   关于该病毒的详细分析报告,可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-trojdownloader-nspasst-bm-50688-52647.html  二、“木马控制器57344”(Win32.Troj.Ghosty.a.57344)威胁级别:★   该毒行为简单,对系统不具备直接的破坏能力,但会开启敏感端口,建立后门。黑客借助其帮助,可对用户电脑执行任何想要的控制。   该毒在进入系统后,释放出子文件avgupdt.exe和lsass.exe到%WINDOWS%\SYSTEM32\2054913864\目录下,此目录是随机命名,反而容易被用户发现。   当修改注册表启动项、实现开机自启动后,病毒就会运行起来,连接病毒作者指定的黑客服务器,等待黑客指令。   关于该病毒的详细分析报告,可在金山病毒大百科中查阅http://vi.duba.net/virus/win32-troj-ghosty-57344-52643.html   金山反病毒工程师建议   1.最好安装专业的杀毒软件进行全面监控,防范日益增多的病毒。用户在安装反病毒软件之后,应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报,这样才能真正保障计算机的安全。   2.由于玩网络游戏、利用QQ等即时聊天工具交流的用户数量逐渐增加,所以各类盗号木马必将随之增多,建议用户一定要养成良好的网络使用习惯,如不要登录不良网站、不要进行非法下载等,切断病毒传播的途径,不给病毒以可乘之机。   金山毒霸反病毒应急中心及时进行了病毒库更新,升级毒霸到2008年12月3日的病毒库即可查杀以上病毒;如未安装金山毒霸,可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816,反病毒专家将为您提供帮助。
󰈣󰈤
 
 
 
>>返回首页<<
 
 热帖排行
 
 
 
静静地坐在废墟上,四周的荒凉一望无际,忽然觉得,凄凉也很美
©2005- 王朝网络 版权所有