BKDR_RARSTONE.A

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它可能是由其他恶意软件植入。

它执行远程恶意用户的命令，有效地攻击受感染的系统。

新病毒详细信息

它可能是由下列恶意软件植入：

• TROJ_ARTIEF.NTZ

安装

它在受感染的系统中植入并执行下列自身副本：

• %System%\ymsgr_tray.exe

(注意: %System% 是 Windows 的 system 文件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows XP 和 Server 2003)。)

它植入下列文件/组件：

• %Application Data%\profile.dat - blob file containing malware routines

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它添加下列进程：

• iexplore.exe

它将自身作为内存驻留例程的一部分注入下列进程：

• iexplore.exe

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Yahoo! = ""%System%\ymsgr_tray.exe" -local"

后门例程

它执行远程恶意用户的下列命令：

• Get computer name and name of current user
• Retrieve list of local groups where the current user belongs.
• Create autorun registry entries
• Enumerate files and directories
• Get drive information
• Upload files
• Download files
• Execute files
• Download plugin and load into memory
• Enumerate processes
• Enumerate process modules
• Get process information
• Terminate processes
• Get installer properties from Uninstall Registry Key entries
• Manage files and directories (create, delete, modify, rename, search)
• Manage registries (create, delete, modify, search, view)
• Manage services (install, modify, search, start, stop, uninstall, view)
• Get service information
• Manage windows
• Perform remote shell
• Restart system
• Remove self from system
• Update self and configuration
• Enumerate TCP and UDP connection states