（2.1）【经典木马-Sub7】原理、使用

目录

一、简介：

1.1、简述：

1.2、下载：

渠道一：

渠道二：

二、原理

2.1、植入：

NODLL.EXE

SERVER.EXE 或 KERNEL16.DL 或 WINDOW.EXE

WATCHING.DLL or LMDRK_33.DLL

2.2、木马与操作系统“挂接”

三、使用

第一步：配置服务器端程序

第二步用客户端控制服务端

---

一、简介：

1.1、简述：

Sub7是一个基于Windows 9x的特洛伊木马，当该木马运行的时候，它能够通过Internet向运行相应客户端软件的黑客提供染毒机器的所有访问权限

木马名称和别名：Sub7，SubSeven，BackDoor-G

和冰河一样，它可以远程控制其它计算机，可用于违法活动(例如盗号、信用卡密码)。

---

以Sub7 2.2为例，由4个主要文件组成， 分别为： Server .exe（服务器端程序），E ditserv er.exe（配置服务器端程序），Sub7.exe（客户端控制程序）和Sin.exe（在线监听程序）。其他的Menu.cfg、Pages.cfg、S7config. cfg均为配置文件，Icqmapi.dll为Sub7通过ICQ通知客户端功能的插件

1.2、下载：

渠道一：

Sub7 Legacy (sub7crew.org)https://www.sub7crew.org/project/

---

渠道二：

Download: Subseven.2.2.zip ≈ Packet Storm (packetstormsecurity.com)https://packetstormsecurity.com/files/download/29582/Subseven.2.2.zip

---

---

二、原理

2.1、植入：

该木马将向系统的Windows、Windows\system目录下安装3个文件：

NODLL.EXE

该文件被安装到Windows文件夹下，用来安装服务器端主程序。

它是从WIN.INI文件的 'run='行被调用的。该文件被定义为BackDoor-G.ldr。

---

SERVER.EXE 或 KERNEL16.DL 或 WINDOW.EXE

该文件被安装到Windows目录下，它是该木马主要负责通过Internet 接收并执行从客户端软件传来的命令。该文件被定义为BackDoor-G.srv。

这个程序通常是用户收到的第一个文件，在这个文件中包含其他两个文件的副本。

---

WATCHING.DLL or LMDRK_33.DLL

该文件被复制到Windows\system目录中，它是被木马的服务器端程序用来监视与客户端软件进行的网络连接。它被定义为BackDoor-G.dll。

2.2、木马与操作系统“挂接”

1、在WIN.INI文件的[Windows]部分的"run="行添加该木马的服务器端主程序；

---

2、在SYSTEM.INI文件的[boot]部分的"shell"行的末尾添加该木马的服务器端主程序；

---

3、添加注册键：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\

和

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

---

4、通过改变注册键值来改变操作系统运行EXE文件的方式

HKEY_CLASSES_ROOT\exefile\shell\open\command\(Default)

将值从原来的""%1" %*" 改为 "mueexe.exe "%1" %*"

这样将导致每次操作系统要执行EXE文件的时候都先运行木马的安装程序，然后安装程序运行服务器端的主程序（如果还为运行），最后才运行系统想要执行的EXE文件。

该木马同样更改注册键使得扩展名为.dl的文件能够在系统运行EXE文件时也被执行，这样就使攻击者能够往染毒机器中下载文件并运行。由于扩展名不再反映可执行文件，所以一些反病毒软件不能扫描到它们，系统也不能将他们悬挂。

---

---

三、使用

第一步：配置服务器端程序

运行Editserver.exe, 可以看到服务器端的配置，全部都列在左边， 共8个选项，分别为服务器设置、启动方式、通知、捆绑文件、插件、限定、E-mail、Exe图标／其他。

就不登录了

---

第二步用客户端控制服务端