Cobber Tuo

本周受关注恶意软件： 病毒名：Trojan.Win32.Lethic.a 文件大小: 20992字节 创建注册表: “HKEY_CURRENT_USER\SoftwareMicrosoftWindowsCurrentVersionRun” v85a85a38e=”C:RECYCLERS-1-5-21-0243556031-888888379-781862338-186176712r85a85asr31.exe” “HKEY_CURRENT_USER\SoftwareMicrosoftWindowsCurrentVersionRunOnce” v85a85a38e=”C:RECYCLERS-1-5-21-0243556031-888888379-781862338-186176712r85a85asr31.exe” 创建文件: C:RECYCLERS-1-5-21-0243556031-888888379-781862338-186176712r85a85asr31.exe 主要行为： 这是一个木马程序，运行后会将自己拷贝至”C:RECYCLERS-1-5-21-0243556031-888888379-781862338-186176712r85a85asr31.exe”，并添加到开机自启动，然后删除自身。接着其会通过远程线程注入的方式将恶意代码注入到系统进程”explorer.exe”中，并创建名为”zyan85asc”的互斥体，防止木马重复运行。最后该木马会连接远程地址”91.***.105.85:7700″，一旦连接成功则会允许远程主机控制受感染的电脑。此外，该木马程序还会使用Inline hook 的方式让当系统进程”explorer.exe”调用API “ntdll.RtlFreeHeap”时，执行其携带的恶意代码。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。

本周受关注恶意软件： 病毒名：Trojan-Spy.Win32.Backoff.a.txt 文件大小: 53760字节 主要行为： 这是一个能够窃取用户敏感信息的木马程序。该木马运行后会获取计算机名、用户名、操作系统版本等信息。然后遍历进程并查找”outlook.exe”进程，找到则结束该进程。通过在搜索文件”%appdata%MicrosofttOutlook*.pst”，获取outlook保存用户邮件的数据库文件；接着搜索Mozilla浏览器的邮件工具–ThunderBird的配置文件”%appdata%Thunderbirdprofiles.ini”和ThunderBird的数据库文件”abook.mab”。它通过搜索以上文件，进而获得用户的邮件、邮件地址、邮件联系人等信息，并将获得到的用户敏感信息写入到”Emails.txt”中，然后通过HTTP请求将”Emails.txt”作为附件发送到远程地址”dns.******-host.org”，然后删除文件”Emails.txt”。最后该木马程序向”explorer.exe”进程注入一段shellcode，休眠3秒后自删除。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。

本周受关注恶意软件： 病毒名：Trojan-Ransom.Win32.Fury.a 文件大小: 67584字节 创建文件: %appdata%UpdSysDrv32Xz32[8位随机字母].exe 创建注册表: HKEY_LOCAL_MACHINE]SOFTWAREMicrosoftWindows UpdSysDrvNamxz32=”[8位随机字母].exe” [HKEY_CURRENT_USER]SoftwareMicrosoftWindowsCurrentVersionRun UpdSysDrvX32z32=”%appdata%UpdSysDrv32Xz32[8位随机字母].exe” 主要行为： 这是一个木马程序，运用了PE映像切换的技术，将恶意代码注入到系统程序”svchost.exe”。首先，它会通过挂起的方式打开系统进程”svchost.exe”，然后通过ZwMapViewOfSection、ZwUnmapViewOfSection、ZwCreateSection等Native API将svchost.exe映射在内存中并修改了svchost.exe的入口点，使其跳转到恶意代码的入口。然后，它会利用ZwResumeThread恢复挂起的svchost.exe进程，使恶意代码被运行。恶意代码运行后，会从远程地址下载其他恶意程序；遍历所有硬盘并加密以下后缀名的文件”*.odp|*.xls|*.mdb|*.wb2|*.cdr|*.cr2|*.orf|*.srw|*.p7b|*.odm |*.accdb|*.mdf|*.dng|*.dcr|*.raf|*.x3f|*.p7c|*.odc|…”，然后弹出带有支付地址的锁屏窗口，提示用户支付相应费用来换取解密文件，从而达到敲诈勒索的目的。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。

卡巴斯基中国地区每周病毒播报(2014年11月17日–2014年11月23日)

本周卡巴斯基中国地区病毒排名: 本周受关注恶意软件： 病毒名：Trojan-Downloader.Win32.Obuvka.and 文件大小: 103424字节 创建文件: %temp%tmp[8位随机数].bat 访问恶意网址: fixiland.su/mod_j********_products/mod_smartslider2 fixiland.su/mod_j********_products_uef/mod_maximenuck slimsize1.su/c****og/89690 主要行为： 这是一个木马程序。该程序运用了远程线程注入技术，可将恶意的DLL文件从内存注入到系统进程 “explorer.exe”中。在这个程序的内存中存在功能相同版本不同的两个DLL文件:32位和64位。恶意程序运行时首先判断是否为64位操作系统，从而选择要注入的DLL的版本。当恶意的DLL文件被注入到系统进程后，会访问恶意的网址，并从这些网址下载其他恶意的程序。在注入完成后，通过释放的批处理文件完成自删除，来增强恶意程序的隐蔽性。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。

本周卡巴斯基中国地区病毒排名: 本周受关注恶意软件： 病毒名：Backdoor. MSIL.Agent.nmx 文件大小: 60416字节 主要行为： 这是一个用”Microsoft Visual C#”语言编写的后门木马程序。该木马会窃取用户的隐私信息，并且会被远程控制及接收远程计算机的指令，执行相应的恶意代码。它能够对用户的桌面截图，并将图片文件保存并压缩为.RAR文件；还可检测用户安装的杀毒软件，并获取杀毒软件的名称；此外，它还会检测用户是否安装摄像头，并能通过执行指令完成打开摄像头和关闭摄像头的操作。在获得用户的FTP软件FileZilla的账号和密码、获得计算机名、IP地址、操作系统类型等信息后，该木马还能通过多命令行接收指令，实施从指定网址下载文件、运行指定路径的文件、打开指定的网址、挂起指定进程、结束指定进程等操作。另外，该木马还能够编译脚本，将指定的脚本文件编译成可执行文件，最终将获得的信息通过网络发送到指定的地址。 专家预防建议: 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。

本周卡巴斯基中国地区病毒排名: 本周受关注恶意软件： 病毒名：Backdoor.Win32.Bifrose.gbo 文件大小: 151430字节 创建文件: C:SetupCacheMgr.exe C:Setupcsetup.tmp 创建注册表: HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun StubPath=”C:setupcachemgr.exe -as” HKEY_LOCAL_MACHINESoftwareMicrosoftActive SetupInstalled Components2CBE016A-8F28-4E0C-83A6-6079161294D7 StubPath=”C:setupcachemgr.exe -ax” 主要行为： 这是一个伪装成文件夹图标的后门程序。木马运行时首先将自己拷贝至C:SetupCacheMgr.exe，创建名为”2CBE016A-8F28-4E0C-83A6-6079161294D7″的互斥体，防止木马实例被重复运行。随后，它会将自身添加到开机自启动项，确保每次开机时运行木马程序，并创建新进程 “C:SetupCacheMgr.exe -ax”，创建文件 C:Setupcsetup.tmp，用来记录用户电脑被木马攻击的日期。利用受感染的主机对一些特定的IP地址进行DDos (分布式拒绝服务)攻击，使得被攻击目标无法对合法用户正常响应，然后从网址 “secure-*******updates.net/updates/system/update.php” 下载安全性未知的文件(URL已失效)。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。

本周卡巴斯基中国地区病毒排名: 本周受关注恶意软件： 病毒名：Trojan.Win32.Straftoz.c 文件大小: 189440字节 主要行为： 这是一个木马程序。该木马运行后会通过以下方法来反沙盒和反虚拟机:1、判断沙盒模块SbieDll.dll是否被加载；2、判断虚拟机的服务是否开启”\.HGFS” “.vmci” “.VBoxGuest”；3、创建名为”Frz_State”的互斥体，判断是否已经运行。如果满足任一条件，则直接退出木马程序。反之则执行恶意代码：通过窗体名获得”explorer.exe”进程句柄，通过远程线程将恶意代码注入到系统进程中，然后退出当前程序。注入到”explorer.exe”的恶意代码会查找%appdata%下的所有文件，并打开网址hdseriales*******andtvonline.com，最后删除木马程序，增强木马的隐蔽性。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。

本周卡巴斯基中国地区病毒排名： 本周受关注恶意软件： 病毒名：Trojan-Ransom.Win32.Onion.h 文件大小: 679424字节 创建文件: %temp%$随机数.exe %mydocuments%DecryptAllFiles $随机数.txt %mydocuments%AllFilesAreLocked $随机数.bmp %mydocuments%$随机数.html %windir%$随机数.job 主要行为： 这是一个木马程序。它会利用加密本地磁盘和网络映射盘上的文件，要求用户支付比特币来恢复被加密的文件。木马运行后首先将自己拷贝至 %temp%$随机数.exe，随后遍历磁盘，搜索所有的文件，通过判断文件后缀名来决定是否要加密，它会使用AES加密算法进行加密，将加密后的后缀名改为 *.ctbl。木马为了防止加密系统目录下的文件而导致系统运行出错，在遍历文件目录的时候不加密%Windows%目录下的文件。加密完成后，木马操纵者会要求用户到指定的网址发送信息和比特币来解密这些文件。 专家预防建议: 建立良好的安全习惯，不打开可疑邮件和可疑网站。 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。