BKDR_TAVDIG.GUD

2013年12月2日

分析者: Nikko Tamana

平台:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

总体风险等级:

潜在破坏:

潜在分布:

感染次数:

信息暴露:

恶意软件类型:
Backdoor
有破坏性？:
没有
加密？:
是的
In the Wild:
是的

概要

感染途徑: 下降了其他恶意软件

如需此「間諜程式」的快速全面一覽，請參閱下面的「安全威脅圖表」。

它可能是由其他恶意软件植入。

它执行远程恶意用户的命令，有效地攻击受感染的系统。

技术详细信息

文件大小: 176,245 bytes

报告日期: EXE

内存驻留: 是的

初始樣本接收日期: 2013年10月19日

Payload: 危害系统安全, 收集系统信息, 连接到 URL/Ip

新病毒详细信息

它可能是由下列恶意软件植入：

TROJ_PIDIEF.GUD

安装

它向下列进程中注入代码：

explorer.exe
iexplore.exe
chrome.exe
firefox.exe
opera.exe

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe, {Malware Path and filename}.exe"

后门例程

它执行远程恶意用户的下列命令：

Delete files
Download and execute files
Send information to C&C
Terminate itself

它将下列信息发送到其命令和控制 (C&C) 服务器:

File listing on certain path including temporary folder
IPv4 TCP connection table
IPv4 User Datagram Protocol (UDP) listener table
Information of running processes
Installed Windows updates
Windows information
Computer name
Country name
Current date
Current directory
Drive information
Local group
Network resource
Operating system info
Processor info
System directory
System language
Time zone
Uptime
User accounts
User language
User name

解决方案

最小扫描引擎: 9.700

First VSAPI Pattern File: 10.406.05

VSAPI 第一样式发布日期: 2013年10月19日

VSAPI OPR样式版本: 10.407.00

VSAPI OPR样式发布日期: 2013年10月20日

Step 1

对于Windows ME和XP用户，在扫描前，请确认已禁用系统还原功能，才可全面扫描计算机。

Step 3

重启进入安全模式

[ 更多 ]

Step 4

删除该注册表值

[ 更多 ]

注意事项：错误编辑Windows注册表会导致不可挽回的系统故障。只有在您掌握后或在系统管理员的帮助下才能完成这步。或者，请先阅读Microsoft文章，然后再修改计算机注册表。

In HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
- Shell = "explorer.exe, {Malware Path and filename}.exe"

Step 5

重启进入正常模式，使用亚信安全产品扫描计算机，检测BKDR_TAVDIG.GUD 文件如果检测到的文件已被亚信安全产品清除、删除或隔离，则无需采取进一步措施。可以选择直接删除隔离的文件。请参阅知识库页面了解详细信息。