彩虹桥木马程序backdoor.win32.bifrose.gel查杀

彩虹桥木马摘要

彩虹桥木马是使用vb编写的后门程序，由微点主动防御软件自动捕获，未加壳，样本长度为“421,376 字节”，图标为“”，使用“exe”扩展名，通过“诱骗用户点击”、“文件捆绑”等途径植入用户计算机

彩虹桥木马主要功能可盗取文件，窃取密码、记录键盘、摄像头录像，使用户隐私完全暴露于病毒种植者，沦陷为傀儡主机
 

彩虹桥木马分析

该样本被执行后， 将修改注册表，映像劫持下列安全软件进程，将下列进程指向“ifeofile”，相关进程如下：

在系统目录“%systrmdrive%”下建立“temp”文件夹，释放随机文件名文件“qpxyn492008d.exe”至此目录，随后将其运行。

“qpxyn492008d.exe”运行后，将以挂起方式启动进程“iexplore.exe”，申请空间将自身代码写入，执行远程线程将写入的代码作为其一个线程运行，“iexplore.exe”启动后，将复制“qpxyn492008d.exe”至系统目录 “%commonprogramfiles%\microsoft shared\msinfo\”,并重命名为“network.exe”，修改注册表，将“network.exe”注册为服务，相关注册表键值如下：

　项：“hkey_local_machine\system\currentcontrolset\services\network location”
　　键：“type”
　　数据：110
　　键：“start”
　　数据：“02”
　　键：“imagepath”
　　数据：“c:\program files\common files\microsoft shared\msinfo\network.exe”
　　键：“displayname”
　　数据：“network location awareness”
　　键：“description”
　　数据：“收集并保存网络配置和位置信息”

随后“iexplore.exe”将删除“qpxyn492008d.exe”，后台联网通过空间“http://qqg**d.micro8oft.com/2**8dnewip.txt”上读取后门种植者所设置的ip地址和端口号进行反向连接，连接成功后与黑客进行通讯，接受黑客的控制，使被病毒感染主机伦为傀儡主机


彩虹桥木马防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；


      图1 主动防御自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"backdoor.win32.bifrose.gel”，请直接选择删除（如图2）。


      图2 升级后截获已知病毒

转载于:https://www.cnblogs.com/kangderui/archive/2010/01/01/1637342.html