BKDR_MEVADE.A
Trojan:Win32/Mevade.A(Microsoft)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
恶意软件类型:
Backdoor
有破坏性?:
没有
加密?:
是的
In the Wild:
是的
概要
如需此「間諜程式」的快速全面一覽,請參閱下面的「安全威脅圖表」。
它使用 Windows 任务计划程序创建可执行植入副本的预设任务。
它运行远程恶意用户发送的某些命令。该操作使受感染的计算机和计算机上的信息面临更大风险。
技术详细信息
安装
它在受感染的系统中植入下列自身副本:
- %System%\TrustedInstaller.exe
- %System%\uti.exe
(注意: %System% 是 Windows 的 system 文件夹,通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)
它植入下列非恶意文件:
- %System%\~stg
(注意: %System% 是 Windows 的 system 文件夹,通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)
它使用 Windows 任务计划程序创建可执行植入副本的预设任务。
自启动技术
它通过添加下列注册表项,注册为系统服务,确保在每次系统启动时自动执行:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
Type = "20"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
Start = "02"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
ImagePath = "C:\WINDOWS\system32\TrustedInstaller.exe" /svc
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
DisplayName = "Trusted Installer"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
Description = "Adds, modifies, and removes applications provided as a Windows Installer (*.msi) package. If this service is disabled, any services that explicitly depend on it will fail to start."
它通过添加下列注册表键值注册为系统服务,确保在每次系统启动时自动执行:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
预设任务将在下列时间段执行恶意软件:
- %Windows%\Tasks\TrustedInstaller Update.job - executes the malware daily every one hour
- %Windows%\Tasks\TrustedInstaller Update 2.job - executes the malware at system startup
(注意: %Windows% 是 Windows 文件夹,通常位于 C:\WINDOWS 或 C:\WINNT。)
其他系统修改
它创建下列注册表项以绕开 Windows 防火墙:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware filename}.exe = "{malware path}\{malware filename}.exe:*:Enabled:{malware filename}.exe(in)"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\TrustedInstaller.exe = "%System%\TrustedInstaller.exe:*:Enabled:TrustedInstaller.exe(in)"
后门例程
它执行远程恶意用户的下列命令:
- Perform remote connection to a certain location supplied by the remote user using SSH
- Update copy of itself
解决方案
Step 1
对于Windows ME和XP用户,在扫描前,请确认已禁用系统还原功能,才可全面扫描计算机。
Step 2
禁用该恶意软件服务
- Trusted Installer
Step 3
搜索和删除这些文件
- %System%\~stg
- %Windows%\Tasks\TrustedInstaller Update.job
- %Windows%\Tasks\TrustedInstaller Update 2.job
- %System%\~stg
- %Windows%\Tasks\TrustedInstaller Update.job
- %Windows%\Tasks\TrustedInstaller Update 2.job
Step 4
删除该注册表键值
注意事项:错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者,请先阅读Microsoft文章,然后再修改计算机注册表。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- Trusted Installer
- Trusted Installer
Step 5
删除该注册表值
注意事项:错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者,请先阅读Microsoft文章,然后再修改计算机注册表。
- In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- {malware path}\{malware filename}.exe = "{malware path}\{malware filename}.exe:*:Enabled:{malware filename}.exe(in)"
- {malware path}\{malware filename}.exe = "{malware path}\{malware filename}.exe:*:Enabled:{malware filename}.exe(in)"
- In HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- %System%\TrustedInstaller.exe = "%System%\TrustedInstaller.exe:*:Enabled:TrustedInstaller.exe(in)"
- %System%\TrustedInstaller.exe = "%System%\TrustedInstaller.exe:*:Enabled:TrustedInstaller.exe(in)"
Step 6
使用趋势科技产品扫描计算机,并删除检测到的BKDR_MEVADE.A文件 如果检测到的文件已被趋势科技产品清除、删除或隔离,则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。