代理木馬和SQL幽靈變種

江民9.21病毒播報

英文名稱：TrojanDropper.Agent.aaxa

中文名稱：“代理木馬”變種aaxa

病毒長度：23552位元組

病毒類型：木馬釋放器

危險層級：★★★

影響平台：Win 9X/ME/NT/2000/XP/2003

MD5 校正：35db985e312f22cc6ead0a4a5f2d0a2d

特徵描述：

TrojanDropper.Agent.aaxa“代理木馬”變種aaxa是“代理木馬”木馬釋放器家族中的最新成員之一，採用“Microsoft Visual C++ 6.0”編寫，並且經過加殼保護處理。“代理木馬”變種aaxa運行後，會自我複製到被感染電腦系統的“%SystemRoot%\system32 \dllcache\”檔案夾下，重新命名為“systembox.bak”。在“%SystemRoot%\system32\”檔案夾下釋放經過加殼保護的惡意DLL組件“*.dll”（檔案名稱從netsvcs服務組中依次取得，一般從“6to4”開始），同時將其複製到 “%SystemRoot%\system32\dllcache\”檔案夾下。另外，還會在“%SystemRoot%\system32 \drivers\”檔案夾下釋放惡意驅動程式“WmiSvc.sys”，用以結束各類安全軟體的自我保護。結束大量安全軟體的進程，同時利用註冊表映像檔案劫持功能，幹擾這些安全軟體的正常運行。“代理木馬”變種aaxa釋放的DLL檔案在運行後，會下載其它各類木馬或者串連指定的掛馬頁面，從而給使用者造成不同程度的損失。“代理木馬”變種aaxa還可通過移動存放裝置及網路位置進行傳播，其會自我複製為“[盤符]:\recycle. {645FF040-5081-101B-9F08-00AA002F954E}\Ghost.exe”並產生“autorun.inf”檔案，從而利用系統的自動播放功能啟用自我。通過內建的密碼錶對存在弱口令的網路位置進行串連，一旦串連成功便會複製自身到該電腦的“C:\”下，重新命名為 “bootfont.exe”，並且利用計劃任務功能將其啟用。另外，“代理木馬”變種aaxa會對部分副檔名為“.exe”、“.asp”、 “.htm”、“.html”、“.aspx”及“.RAR”檔案進行感染，從而給使用者造成更多的風險。“代理木馬”變種aaxa會在被感染電腦中註冊為系統服務，以此實現開機自啟。

英文名稱：Exploit.SqlShell.o

中文名稱：“SQL幽靈”變種o

病毒長度：227328位元組

病毒類型：漏洞病毒

危險層級：★

影響平台：Win 9X/ME/NT/2000/XP/2003

MD5 校正：750e784163ea09d7889b4e1110b985e2

特徵描述：

Exploit.SqlShell.o“SQL幽靈”變種o是“SQL幽靈”漏洞病毒家族中的最新成員之一，採用進階語言編寫，是一個由其它惡意程式釋放出來的DLL功能組件，經過加殼保護處理。“SQL幽靈”變種o運行時，會在被感染系統的“%SystemRoot%\system32\”目錄下釋放經過加殼保護的惡意DLL組件“dwinter.dll”和“dwintel.dll”。“SQL幽靈”變種o會針對“Microsoft SQL Server 2003”或其它版本的已知漏洞進行攻擊，其會搜尋當前網段記憶體在的資料庫服務，並對使用了弱口令、採用混合驗證模式登陸的資料庫服務進行串連。駭客會發送特定的查詢使得之前釋放的DLL檔案被調用，一旦調用成功，“SQL幽靈”變種o可能會通過FTP等方式下載其它的惡意程式，或者在伺服器上執行任意代碼，從而對被感染系統的使用者造成不同程度的侵害。