至顶网›安全频道 ›Backdoor.Win32.Cakl.h分析报告

Backdoor.Win32.Cakl.h分析报告

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

病毒名称： Backdoor.Win32.Cakl.h 病毒类型：后门类文件 MD5： F21AE5BECCA6CF23B2DB0DE435A6224E 公开范围：完全公开

来源：论坛整理 2008年7月29日

Backdoor.Win32.Cakl.h分析报告

安天实验室 CERT
一、病毒标签：

病毒名称： Backdoor.Win32.Cakl.h
病毒类型：后门类
文件 MD5： F21AE5BECCA6CF23B2DB0DE435A6224E
公开范围：完全公开
危害等级： 4
文件长度： 284,672 字节
感染系统： windows 98以上版本
加壳类型：未知

二、病毒描述：

该病毒为后门类，病毒运行后，复制文件到系统目录下。修改注册表值破坏注册表safeboot键，导致无法进入安全模式，删除系统还原服务项。该病毒通过恶意网站、其它病毒/木马下载传播。主动连接网络下载相关病毒文件，开启端口等待病毒控制端连接，与控制端连接成功后，中毒机器会受到远程控制（屏幕监视，文件操作，注册表操作，上传下载等远程操作）。
三、行为分析：
1、病毒运行后，释放文件到系统目录下：
%System32%/hdefx32.exe
%System32%/ntdefend32.dll
%System32%/ntkrnl32.dll
%WINDIR%/winnt32.sys

2、修改注册表值：

(1) 破坏注册表safeboot键，导致无法进入安全模式:
列出部分删除键如下：
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/AppMgmt
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/Base
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/Boot Bus Extender
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/Boot file system
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/AFD
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/AppMgmt
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/Base
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/Boot Bus Extender
键值: 字串: "@"= "Driver Group"

列出部分新建键如下：
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/AppMgmt/@
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/Base/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/Boot Bus Extender/@
键值: 字串: "@"= "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/Boot file system/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/AFD/@
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/AppMgmt/@
键值: 字串: "@"= "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/Base/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/Boot Bus Extender/@
键值: 字串: "@" = "Driver Group"

(2) 删除系统还原服务项：
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "Description"="执行系统还原功能。要停止服务，请从“我的电脑”的属性中的系统还原选项卡关闭系统还原"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "DisplayName"="System Restore Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "ImagePath"="%SystemRoot%/system32/svchost.exe -k netsvcs."
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "ObjectName"="LocalSystem"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice/Parameters
键值: 字串: "ServiceDll"="C:/WINDOWS/system32/srsvc.dll."

3、主动连接网络下载相关病毒文件，开启端口等待病毒控制端连接，列出部分网络地址如下:
　　　协议：TCP　协议：TCP
地址：128.121.126.139　地址：169.132.13.103
端口：15963　端口：15963
　　　　
4、该病毒通过恶意网站、其它病毒/木马下载传播；与控制端连接成功后，中毒机器会受到远程控制（屏幕监视，文件操作，注册表操作，上传下载等远程操作）。
注释：
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动系统所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% 当前用户TEMP缓存变量；路径为：
%Documents and Settings%/当前用户/Local Settings/Temp
%System32% 是一个可变路径；
病毒通过查询操作系统来决定当前System32文件夹的位置；
Windows2000/NT中默认的安装路径是　C:/Winnt/System32；
Windows95/98/Me中默认的安装路径是　C:/Windows/System；
WindowsXP中默认的安装路径是　C:/Windows/System32。

四、清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。
(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程gajkonline.exe

(2) 强行删除病毒文件
%System32%/hdefx32.exe
%System32%/ntdefend32.dll
%System32%/ntkrnl32.dll
%WINDIR%/winnt32.sys
(3) 恢复病毒修改的注册表项目
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/AppMgmt
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/Base
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/Boot Bus Extender
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Minimal/Boot file system
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/AFD
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/AppMgmt
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/Base
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/Network/Boot Bus Extender
键值: 字串: "@"= "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/AppMgmt/@
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/Base/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/Boot Bus Extender/@
键值: 字串: "@"= "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/minimal.xxx/Boot file system/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/AFD/@
键值: 字串: "@" = "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/AppMgmt/@
键值: 字串: "@"= "Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/Base/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Control/SafeBoot/network.xxx/Boot Bus Extender/@
键值: 字串: "@" = "Driver Group"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "Description"="执行系统还原功能。要停止服务，请从“我的电脑”的属性中的系统还原选项卡关闭系统还原"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "DisplayName"="System Restore Service"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "ImagePath"="%SystemRoot%/system32/svchost.exe -k netsvcs."
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice
键值: 字串: "ObjectName"="LocalSystem"
HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/srservice/Parameters
键值: 字串: "ServiceDll"="C:/WINDOWS/system32/srsvc.dll."

VIP专区

VIP用户

普通用户

邮件订阅

如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。

重磅专题

往期文章

Backdoor.Win32.Cakl.h分析报告

业界热点: