词条 | Win32.Troj.Qwin.08 |
释义 | 基本信息病毒别名:Backdoor.Qwin.08.a[AVP] 威胁级别:★★ 中文名称:虚假服务 病毒类型:木马 影响系统:WinNT 病毒行为Win32.Troj.Qwin.08病毒将自己创建并伪装成为系统服务QoSserver,同时通过创建远程线程的方式将系统目录下的文件QoSServer.dll它加载到系统进程LASS.EXE中执行,然后打开特定端口作为后门。其中QoSServer.dll是一个木马文件,它将伪装成系统进程与外部通信,从而让攻击者控制用户的电脑。 1.修改注册表: 添加主键和键值: HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\LEGACY_QOSSERVER "NextInstance"=dword:00000001 HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\LEGACY_QOSSERVER\\0000 "Service"="QoSserver" "Legacy"=dword:00000001 "ConfigFlags"=dword:00000000 "Class"="LegacyDriver" "ClassGUID"="<系统相关>" "DeviceDesc"="QoSserver" HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\Root\\LEGACY_QOSSERVER\\0000\\Control "*NewlyCreated*"=dword:00000000 "ActiveService"="QoSserver" HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\QoSserver "Type"=dword:00000010 "Start"=dword:00000002 "ErrorControl"=dword:00000000 "ImagePath"="<病毒的全路径>" "DisplayName"="QoSserver" "ObjectName"="LocalSystem" HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\QoSserver\\Security "Security"="<系统相关>" HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\QoSserver\\Enum "0"="Root\\LEGACY_QOSSERVER\\0000" "Count"=dword:00000001 "NextInstance"=dword:00000001 2.将自己创建为自动运行的服务QoSserver。 3.创建远程线程,尝试将%System%\\QoSServer.dll注入到进程LSASS.EXE中执行,在TCP端口8491打开后门。 |
随便看 |
百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。