请输入您要查询的百科知识:

 

词条 Win32.Troj.Qwin.08
释义

基本信息

病毒别名:Backdoor.Qwin.08.a[AVP]

威胁级别:★★

中文名称:虚假服务

病毒类型:木马

影响系统:WinNT

病毒行为

Win32.Troj.Qwin.08病毒将自己创建并伪装成为系统服务QoSserver,同时通过创建远程线程的方式将系统目录下的文件QoSServer.dll它加载到系统进程LASS.EXE中执行,然后打开特定端口作为后门。其中QoSServer.dll是一个木马文件,它将伪装成系统进程与外部通信,从而让攻击者控制用户的电脑。

1.修改注册表:

添加主键和键值:

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\LEGACY_QOSSERVER

"NextInstance"=dword:00000001

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\LEGACY_QOSSERVER\\0000

"Service"="QoSserver"

"Legacy"=dword:00000001

"ConfigFlags"=dword:00000000

"Class"="LegacyDriver"

"ClassGUID"="<系统相关>"

"DeviceDesc"="QoSserver"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\LEGACY_QOSSERVER\\0000\\Control

"*NewlyCreated*"=dword:00000000

"ActiveService"="QoSserver"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\QoSserver

"Type"=dword:00000010

"Start"=dword:00000002

"ErrorControl"=dword:00000000

"ImagePath"="<病毒的全路径>"

"DisplayName"="QoSserver"

"ObjectName"="LocalSystem"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\QoSserver\\Security

"Security"="<系统相关>"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\QoSserver\\Enum

"0"="Root\\LEGACY_QOSSERVER\\0000"

"Count"=dword:00000001

"NextInstance"=dword:00000001

2.将自己创建为自动运行的服务QoSserver。

3.创建远程线程,尝试将%System%\\QoSServer.dll注入到进程LSASS.EXE中执行,在TCP端口8491打开后门。

随便看

 

百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。

 

Copyright © 2004-2023 Cnenc.net All Rights Reserved
更新时间:2025/3/4 8:36:51