全自动油炸机厂家
免费服务热线

Free service

hotline

010-00000000
全自动油炸机厂家
热门搜索:
行业资讯
当前位置:首页 > 行业资讯

江民发布超级工厂蠕虫家族技术分析报告_江民官网_新闻资讯_中关村在线种植

发布时间:2020-04-19 19:15:58 阅读: 来源:全自动油炸机厂家

江民发布超级工厂蠕虫家族技术分析报告_江民官网_新闻资讯_中关村在线

江民公司于2010年7月20日在国内开始截获Worm/Stuxnet蠕虫家族变种。Worm/Stuxnet利用多种Windows系统漏洞进行传播,试图攻击西门子SIMATIC WinCC监控与数据采集(SCADA)系统。西门子SIMATIC WinCC SCADA系统用于工业控制领域,一旦运行该系统的服务器感染了Worm/Stuxnet,工业控制指令和数据等信息可能被病毒拦截、窃取或修改。此外,该蠕虫还会从互联网进行更新和接收黑客命令,使感染主机被黑客远程完全控制,成为“僵尸计算机”。

下面是详细技术分析报告。

一、传播途径

1,利用Windows Shell快捷方式漏洞(MS10-046)和U盘传播

U盘传播是Worm/Stuxnet主要传播途径之一。病毒会在移动存储设备的根目录下创建如下病毒文件:

~WTR4132.tmp

~WTR4141.tmp

同时,还会创建下列快捷方式文件,指向~WTR4141.tmp文件:

Copy of Shortcut to.lnk

Copy of Copy of Shortcut to.lnk

Copy of Copy of Copy of Shortcut to.lnk

Copy of Copy of Copy of Copy of Shortcut to.lnk

在没有安装MS10-046补丁的Windows系统中上使用被感染的U盘时,只需在资源管理器中访问U盘根目录,即会自动加载病毒模块~WTR4141.tmp,~WTR4141.tmp进而加载~WTR4132.tmp,造成系统感染。

2,利用MS10-061漏洞和WBEM传播

病毒会利用Windows Spooler漏洞(MS10-061),攻击局域网上开启了“文件和打印机共享”的机器。被成功攻陷的计算机上会生成2个病毒文件:

%SystemDir%\winsta.exe

%SystemDir%\wbem\mof\sysnullevnt.mof

%SystemDir%\wbem\mof\sysnullevnt.mof将会在某时刻自动执行%SystemDir%\winsta.exe(即病毒文件),造成感染。

3,利用共享文件夹传播

病毒扫描局域网机器的默认共享C\$和admin\$,并尝试在远程计算机上创建病毒文件:

DEFRAG 随机数字 .TMP

文件创建成功后,病毒会再远程创建一个计划任务,来定时启动病毒体。

4,利用MS08-067漏洞传播

病毒向存在MS08-067漏洞的远程计算机发送恶意RPC请求,一旦攻击成功,即可完全控制被攻击计算机,进行感染。

二、隐藏自身

1,用户层隐藏

病毒文件~WTR4141.tmp从U盘被加载后,对下列系统API进行Hook:

FindFirstFileW

FindNextFileW

FindFirstFileExW

NtQueryDirectoryFile

ZwQueryDirectoryFile

企图隐藏病毒在U盘上的病毒文件。用户使用Windows资源管理器或其他使用用户层API查看文件目录的工具,都无法看到病毒文件的存在。

2,驱动层隐藏

病毒释放出文件系统过滤驱动mrxnet.sys,从内核层面对病毒文件进行隐藏。驱动层隐藏在功能目的上,与上述用户层隐藏是一致的。

Worm/Stuxnet会为mrxnet.sys创建一个系统服务,服务名为MRXNET,每次系统启动时自动加载。

下载 江民杀毒软件2011 请点击:http://xiazai.zol.com.cn/detail/6/55299.shtml

白芷种植技术

好看成人小说阅读网站

旗袍女

蔬菜的种植技术