Trojan.Lodear.C 是一種試圖下載遠程檔案的特洛伊木馬。發現於2005 年11月3日，更新於2007年2月13日下午12:43:27。別名為Win32.Glieder.CE Panda Softwa。能感染Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003
基本介紹
- 外文名：Trojan.Lodear.C
- 發現：2005 年 11 月 3 日
- 更新：2007 年 2 月 13 日 12:43:27 PM
- 別名：Win32.Glieder.CE [Panda Softwa
基本信息,防護,威脅評估,廣度,損壞,分發,行為分析,注意,建議,清除,詳細步驟,
基本信息
發現： 2005 年 11 月 3 日
更新： 2007 年 2 月 13 日 12:43:27 PM
別名： Win32.Glieder.CE [Panda Softwa
類型: Trojan Horse
感染長度： 10266 bytes ,5646 bytes.
受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003
Trojan.Lodear.C 是一種試圖下載遠程檔案的特洛伊木馬。
防護
* 病毒定義（每日 LiveUpdate™） 2005 年 11 月 3 日
* 病毒定義（每周 LiveUpdate™） 2005 年 11 月 9 日
* 病毒定義（智慧型更新程式） 2005 年 11 月 3 日
* 病毒定義（LiveUpdate™ Plus） 2005 年 11 月 3 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： 0 - 49
* 站點數量： 0 - 2
* 地理位置分布： Low
* 威脅抑制： Easy
* 清除： Easy
損壞
* 損壞級別： Medium
* 有效負載： Downloads and executes remote files.
分發
* 分發級別： Low
* 連線埠： TCP port 80.
行為分析
一旦被執行，Trojan.Lodear.C 即會執行下列操作：
1. 將自身複製為 %System%\hloader_exe.exe。
注意： %System% 是指向 System 資料夾的變數。默認情況下，此資料夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、或 C:\Windows\System32 (Windows XP)。
2. 將值：
"auto__hloader__key" = "%System%\hloader_exe.exe"
添加到註冊表子項：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
使此特洛伊木馬可在 Windows 每次啟動時運行。
3. 創建下列 .dll 檔案（5646 位元組），並將其植入 EXPLORER.EXE 進程：
%System%\hleader_dll.dll
4. 使用 Internet Explorer 通過 TCP 連線埠 80 訪問下列網站，並下載遠程檔案：
* [http://]1st-new-orleans-hotels.com/[REMOVED]/w.php
* [http://]202.44.52.38/[REMOVED]/w.php
* [http://]209.126.128.203/[REMOVED]/w.php
* [http://]25kadr.org/[REMOVED]/w.php
* [http://]65.108.195.73/[REMOVED]/w.php
* [http://]757555.ru/[REMOVED]/w.php
* [http://]80.146.233.41/[REMOVED]/w.php
* [http://]abtechsafety.com/[REMOVED]/w.php
* [http://]abtechsafety.com/[REMOVED]/w.php
* [http://]acentrum.pl/[REMOVED]/w.php
* [http://]adavenue.net/[REMOVED]/w.php
* [http://]adoptionscanada.ca/[REMOVED]/w.php
* [http://]adventecgroup.com/[REMOVED]/w.php
* [http://]africa-tours.de/[REMOVED]/w.php
* [http://]agenciaspublicidadinternet.com/[REMOVED]/w.php
* [http://]ahava.cafe24.com/[REMOVED]/w.php
* [http://]aibsnlea.org/[REMOVED]/w.php
* [http://]aikidan.com/[REMOVED]/w.php
* [http://]ala-bg.net/[REMOVED]/w.php
* [http://]alevibirligi.ch/[REMOVED]/w.php
* [http://]alfaclassic.sk/[REMOVED]/w.php
* [http://]allanconi.it/[REMOVED]/w.php
* [http://]allinfo.com.au/[REMOVED]/w.php
* [http://]americasenergyco.com/[REMOVED]/w.php
* [http://]amerykaameryka.com/[REMOVED]/w.php
* [http://]amistra.com/[REMOVED]/w.php
* [http://]analisisyconsultoria.com/[REMOVED]/w.php
* [http://]av2026.comex.ru/[REMOVED]/w.php
* [http://]calamarco.com/[REMOVED]/w.php
* [http://]ccooaytomadrid.org/[REMOVED]/w.php
* [http://]charlies-truckerpage.de/[REMOVED]/w.php
* [http://]drinkwater.ru/[REMOVED]/w.php
* [http://]eleceltek.com/[REMOVED]/w.php
* [http://]furdoszoba.info/[REMOVED]/w.php
* [http://]home.1000km.ru/[REMOVED]/w.php
* [http://]kepter.kz/[REMOVED]/w.php
* [http://]lifejacks.de/[REMOVED]/w.php
* [http://]mijusungdo.net/[REMOVED]/w.php
* [http://]oklens.co.jp/[REMOVED]/w.php
* [http://]phrmg.org/[REMOVED]/w.php
* [http://]s89.tku.edu.tw/[REMOVED]/w.php
* [http://]sacafterdark.net/[REMOVED]/w.php
* [http://]sarancha.ru/[REMOVED]/[REMOVED]/w.php
* [http://]template.nease.net/[REMOVED]/[REMOVED]/w.php
* [http://]tkdami.net/[REMOVED]/[REMOVED]/w.php
* [http://]virt33.kei.pl/[REMOVED]/[REMOVED]/w.php
* [http://]wunderlampe.com/[REMOVED]/[REMOVED]/w.php
* [http://]www.8ingatlan.hu/[REMOVED]/[REMOVED]/w.php
* [http://]www.a2zhostings.com/[REMOVED]/w.php
* [http://]www.abavitis.hu/[REMOVED]/w.php
* [http://]www.adamant-np.ru/[REMOVED]/w.php
* [http://]www.agroturystyka.artneo.pl/[REMOVED]/w.php
* [http://]www.americarising.com/[REMOVED]/w.php
* [http://]www.aro-tec.com/[REMOVED]/w.php
* [http://]www.barth.serwery.pl/[REMOVED]/w.php
* [http://]www.bmswijndepot.com/[REMOVED]/w.php
* [http://]www.etwas-mode.de/[REMOVED]/w.php
* [http://]www.leap.co.il/[REMOVED]/w.php
* [http://]www.OTT-INSIDE.de/[REMOVED]/w.php
* [http://]www.rewardst.com/[REMOVED]/w.php
* [http://]www.stanislawkowalczyk.netstrefa.com/[REMOVED]/w.php
* [http://]www.timecontrol.com.pl/[REMOVED]/w.php
* [http://]www.ubu.pl/[REMOVED]/w.php
5. 創建下列資料夾以保存其下載的檔案：
%Windir%\exefld
注意
%Windir% 是指向 Windows 安裝資料夾的變數。默認情況下，是 C:\Windows 或 C:\Winnt。
o 5.exe
o 1.exe
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
清除
下列說明適用於所有當前和最近的 Symantec 防病毒產品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品）。
1. 禁用系統還原 (Windows Me/XP)。
2. 更新病毒定義。
3. 運行全面的系統掃描，並刪除所有已檢測到的檔案。
4. 刪除添加到註冊表的任何值。
詳細步驟
有關每個步驟的詳細信息，請參閱下列說明。
1. 禁用系統還原 (Windows Me/XP)
如果正在運行 Windows Me 或 Windows XP，建議您暫時關閉系統還原功能。默認情況下啟用此功能，一旦計算機中的檔案被破壞，Windows Me/XP 可使用此功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法清除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描也可能在 System Restore 資料夾中檢測到威脅，即使您已清除此威脅。
有關如何關閉系統還原功能的說明，請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows Me 系統還原
* 如何關閉或打開 Windows XP 系統還原
注意：當您完全完成防毒步驟，並確定威脅已清除後，請按照上述文檔中的說明重新啟用系統還原。
有關其他信息，以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案。
2. 更新病毒定義
Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate，這是獲得病毒定義最簡便的方法：如果未出現重大的病毒爆發情況，這些病毒定義會在 LiveUpdate 伺服器上每周發布一次（一般為星期三）。要確定是否可通過 LiveUpdate 獲得用於此威脅的定義，請參閱病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義每天發布一次。您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。要確定是否可通過智慧型更新程式獲得用於此威脅的定義，請參閱病毒定義（智慧型更新程式）。
可由此處獲得最新的智慧型更新程式病毒定義：智慧型更新程式病毒定義。有關詳細說明，請參閱文檔：如何使用智慧型更新程式更新病毒定義檔案。
3. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* 對於 Norton AntiVirus 單機版產品：請參閱文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 對於 Symantec AntiVirus 企業版產品：請參閱文檔：如何確定 Symantec 企業版防病毒產品是否已設定為掃描所有檔案。
2. 運行全面的系統掃描。
3. 如果檢測到任何檔案，請單擊“刪除”。
要點： 如果無法啟動 Symantec 防病毒產品或該產品報告其無法刪除檢測到的檔案，則可能需要停止運行此風險，以便刪除檔案。要完成此操作，請在安全模式下運行掃描。有關說明，請參閱文檔：如何以安全模式啟動計算機。以安全模式重新啟動後，再次運行掃描。
刪除檔案後，以正常模式重新啟動計算機，然後繼續執行下一部分。
計算機重新啟動時可能會顯示警告訊息，因為此時可能尚未完全清除威脅。可以忽略這些訊息並單擊“確定”。徹底完成清除操作之後，重新啟動計算機時將不會出現這些訊息。所顯示訊息可能會如下所示：
標題： [檔案路徑]
訊息正文： Windows 無法找到 [檔案名稱]。請確保鍵入了正確的名稱，然後重試。要搜尋檔案，請單擊“開始”按鈕，然後單擊“搜尋”。
4. 從註冊表刪除值
要點： Symantec 強烈建議在對註冊表進行任何更改之前先進行備份。錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。應只修改指定的子項。有關說明，請參閱文檔：如何備份 Windows 註冊表。
1. 單擊“開始”>“運行”。
2. 鍵入 regedit
3. 單擊“確定”。
注意： 如果無法打開註冊表編輯器，則威脅可能已經修改了註冊表以防止進入註冊表編輯器。Security 安全回響中心已開發了一種工具以解決此問題。下載並運行此工具，然後繼續防毒。
4. 導航到下列子項：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
5. 在右窗格中，刪除值：
"auto__hloader__key" = "%System%\hloader_exe.exe"
6. 退出註冊表編輯器。
描述者： Candid Wueest
