特洛伊病毒Win32.Haxdoor.BQ:其它名稱,病毒屬性,感染方式,危害,清

Win32/Haxdoor.BQ是一種後門特洛伊病毒，允許攻擊者從用戶系統收集信息，並遠程傳送命令到被感染系統。

基本介紹

中文名：特洛伊病毒Win32.Haxdoor.BQ
其它名稱：BackDoor-BAC (McAfee)
病毒屬性：特洛伊木馬
危害性：中等危害
類別：後門特洛伊病毒
清除：KILL安全胄甲

其它名稱,病毒屬性,感染方式,危害,清除,

其它名稱

BackDoor-BAC (McAfee), W32/Goldun.NJ@dr (F-Secure), Win32/Haxdoor.BF!Dropper, Backdoor.Haxdoor.R (Symantec), Troj/Haxdoor-DG (Sophos), BKDR_HAXDOR.AU (Trend), Backdoor.Win32.Haxdoor.lf (Kaspersky)

病毒屬性

特洛伊木馬危害性：中等危害流行程度：

感染方式

Win32/Haxdoor.BQ有三個程式：

一個帶有任意檔案名稱的可運行程式；

DLL 檔案"ydsvgd.dll"；

驅動程式"ycsvgd.sys"。

運行時，Haxdoor.BQ使用以下檔案名稱多次複製DLL 和驅動程式到%System%資料夾：

DLL:

ydsvgd.dll

qo.dll

驅動程式:

ycsvgd.sys

qo.sys

ydsvgd.sys

驅動程式檔案隱藏系統上帶有以上檔案名稱的任意檔案，不管它們的實際位置。

在Windows XP 和 2000系統上，特洛伊生成以下註冊表鍵值：

HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon\Notify

\ydsvgd\CID= "[<19 decimal digit pseudo-randomuseridentifier>]"

(eg. [4367663296393607644])

HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon

\Notify\ydsvgd\DllName = "ydsvgd.dll"

HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon

\Notify\ydsvgd\StartUp = "XWD33Sifix"

HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon

\Notify\ydsvgd\Impersonate = 1

HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon

\Notify\ydsvgd\Asynchronous = 1

HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon

\Notify\ydsvgd\MaxWait = 1

在Windows 98系統上，特洛伊生成以下註冊表鍵值：

HKLM\System\CurrentControlSet\Control\MPRServices\TestService

\CID= "[<19 decimal digit pseudo-randomuseridentifier>]"

HKLM\System\CurrentControlSet\Control\MPRServices\TestService

\DllName = "ydsvgd.dll"

HKLM\System\CurrentControlSet\Control\MPRServices\TestService

\EntryPoint = "XWD33Sifix"

HKLM\System\CurrentControlSet\Control\MPRServices\TestService

\StackSize = 0

這些鍵值確保在系統啟動時調用DLL的 "XWD33Sifix"功能。特洛伊監控這些鍵值，如果發生改變就會重新恢復它們。

Windows 98中，特洛伊利用Mprexe utility調用以上"XWD33Sifix"功能。

Windows XP/2000中，特洛伊還會生成以下鍵值：

HKLM\System\CurrentControlSet\Control\Safeboot\Minimal\ycsvgd.sys

\(default) = "Driver"

HKLM\System\CurrentControlSet\Control\Safeboot\Network\ycsvgd.sys

\(default) = "Driver"

HKLM\System\CurrentControlSet\Control\Session Manager

\Memory Management\EnforceWriteProtection = 0

特洛伊隨後安裝"ycsvgd.sys" 和 "ydsvgd.sys"驅動程式分別調用"PTA Adapter" 和 "PTA Adapter32"。這些驅動從Windows隱藏。

代碼中的一個錯誤導致特洛伊在這一點上停止運行。如果延續機能，Haxdoor.BQ可能在正在運行的"explorer.exe"程式中注入一個很小的代碼，並生成一個執行緒來運行這個代碼。這個代碼可能調用"ydsvgd.dll"中的"XWD33Sifix"功能。不管代碼是否成功，只要能夠完全安裝，就允許在下次用戶聯網時特洛伊具有完全的功能。

危害

盜竊系統信息

Haxdoor.BQ定期的連線grci.info上的webserver，並傳送敏感的系統信息，包括：

用戶默認的語言；

特洛伊控制者使用的後門連線埠 (通常是16661)；

一個SOCKS 連線埠 (任意選定)；

一個HTTP 連線埠 (任意選定)；

關於用戶是否有Paypal, eBay, or e-Gold.com 帳戶的狀況信息；

計算機運行時間；

一個用戶標識符；

一個特洛伊版本號。

它還收集系統信息，並使用十六進制格式傳送到webserver。例如，一些最小的解碼數據可能是：

; Protected Storage:

Outlook: mail1 | test

-==; Account

POP3 Server | mail1

POP3 User Name | test

; TheBat passwords

===========

PASSWRD

IP: 10.0.26.251

[9575254538010547542]

特洛伊可能定期的傳送記錄數據的郵件到特定的郵件地址。主題行包含19個阿拉伯數字的用戶標識符。

特洛伊為獲取可能的用戶帳戶信息，檢查以下註冊表鍵值：