Backdoor.Phoenix木马病毒是一个秘密的弹性攻击程序，它能够允许非法访问被病毒感染的计算机。此病毒感染安装有Windows 95, Windows 98, Windows ME, Windows NT, Windows 2000, Windows XP操作系统的计算机，而不会感染安装有Windows 3.x, Microsoft IIS, Macintosh, Unix, Linux操作系统的计算机。

病毒名称：Backdoor.Phoenix

发现日期：2002-09-16

病毒类型：木马病毒

传播范围：低

危害级别：低

传播速度：低

病毒介绍：

Backdoor.Phoenix木马病毒是一个秘密的弹性攻击程序，它能够允许非法访问被病毒感染的计算机。它是通过端口7410来侦听被病毒感染的计算机的。此病毒感染安装有Windows 95, Windows 98, Windows ME, Windows NT, Windows 2000, Windows XP操作系统的计算机，而不会感染安装有Windows 3.x, Microsoft IIS, Macintosh, Unix, Linux操作系统的计算机。

1.此病毒能够修改用户注册表。

2.允许非法访问被病毒感染的计算机，同时降低系统安全级别。

3.对外非法开放7410端口。

4.此病毒一旦被激活并开始运行，它将本身复制到:

%windir%\\Ctwdm16.exe

%windir%\\Ctcheklv.exe

%windir%\\Ssdpcache.exe

其中：%windir%是变化的，此蠕虫会自动寻找机器上的系统目录，并将自身复制到系统目录下，默认的是C:\\Windows或C:\\Winnt。

5.此病毒能够生成键值:

Ctwdm16.exe %windir%\\Ctwdm16.exe

Ssdpcache.exe %windir%\\Ssdpcache.exe /doc

到注册表编辑器：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run中,使得机器启动时，病毒就会自动运行。

6.此病毒也能够创造新键值:

（1）InstallationDate <The Trojan installation date> For example: <Thursday 10 May 2001 - 11:28:24>

到注册表编辑器：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Ph中。

（2）<path to the Trojan>\\~P2.EXE %windows%\\Ctwdm16.exe /del <path to the Trojan>\\~P2.EXE

到注册表编辑器：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce中。

7.如果用户使用的是Windows 95/98/Me操作系统，此病毒将自己注册成服务进程，用户只有在关机后，木马才停止运行。

8.此木马病毒会通过对外非法开放7410端口，让黑客执行如下操作：

（1）可以传送计算机系统和网络信息给黑客，其中包括网络登陆名和缓存网络密码信息。

（2）非法打印文件，播放媒体文件，打开或关闭光盘驱动器。

（3）非法下载和执行文件。

解决方案：

1.及时升级杀毒软件，之后认真在整个硬盘上查杀此病毒，彻底清除掉查到的Backdoor.Phoenix木马病毒。

2.到注册表编辑器:

（1）HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run中将键值：

Ctwdm16.exe %windir%\\Ctwdm16.exe

Ssdpcache.exe %windir%\\Ssdpcache.exe /doc清除。

（2）HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Ph中将键值：

InstallationDate <The Trojan installation date> For example: <Thursday 10 May 2001 - 11:28:24>清除。

（3）HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce中将键值：

<path to the Trojan>\\~P2.EXE %windows%\\Ctwdm16.exe /del <path to the Trojan>\\~P2.EXE清除。