Backdoor.Win32.PcClient.aazt分析

一、 病毒标签：
病毒名称： Backdoor.Win32.PcClient.aazt
病毒类型： 后门
文件 MD5： 94469F5A95C3F9A7819EC79777A5E1C2
公开范围： 完全公开
危害等级： 4
文件长度： 65,903 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 5.0 [Overlay]
加壳类型： 无
二、 病毒描述：
该病毒为后门类，病毒运行后衍生病毒文件到系统目录以及附属目录下；修改注册表创建服务，截取键盘操作信息，记录到系统目录下，连接网络向服务器发送消息，病毒运行完毕后删除自身。
三、 行为分析：
本地行为:
1、文件运行后会释放以下文件,病毒名为随即病毒名
%System32%\005a0b4.imi   1 字节
%System32%\ktiove.fde    95,368 字节
%System32%\hhlign.key   键盘记录信息，大小不定
%System32%\driver\hhlign.sys  5,632 字节
2、新增注册表
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "Description"
类型： REG_SZ
值: "Microsoft .NET Framework TPM"
描述：病毒服务描述
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "DisplayName"
类型： REG_SZ
值: "mxknbt"
描述：病毒服务名称
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "ImagePath"
类型： REG_SZ
值: "C:\WINDOWS\system32\SVCHOST.EXE -k mxknbt"
描述：病毒服务的影像路径
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt\Parameters]
注册表值: "ServiceDll"
类型： REG_SZ
值: "%SystemRoot%\System32\hhlign.fde"
描述：病毒服务加载的dll
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "Start"
类型：DWORD
键值: 2 (0x2)
描述：病毒服务的启动方式，自动
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\yxknbtwb]
注册表值: "DisplayName"
类型： REG_SZ
值: "yxknbtwb"
描述：病毒驱动的描述
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\yxknbtwb]
注册表值: "ImagePath"
类型： REG_SZ
值: "\??\C:\WINDOWS\system32\drivers\hhlign.sys"
描述：病毒服务驱动的映像路径
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\yxknbtwb]
注册表值: "Start"
类型：DWORD
键值: 2 (0x2)
描述：病毒服务的启动方式
3、记录键盘操作，将操作信息保存到%System32%\hhlign.key文件中。
网络行为:
1、连接网络发送数据
协议：TCP
域名或IP地址：a88****.3322.org:608(222.78.78.***)
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
    %Windir%\      WINDODWS所在目录
%DriveLetter%\   逻辑驱动器根目录
%ProgramFiles%\   系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录
四、 清除方案：
1、使用安天防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 在命令行下使用"tasklist -svc"命令查看加载病毒衍生的后缀名为fde文件的svchost进程的id
(2) 在命令行下使用"taskkill /pid "查到的pid" /f"命令结束该病毒进程
(3) 删除病毒文件
%System32%\005a0b4.im
%System32%\ktiove.fde
%System32%\hhlign.key
%System32%\driver\hhlign.sys
(4) 删除病毒添加的注册表项
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "Description"
类型： REG_SZ
值: "Microsoft .NET Framework TPM"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "DisplayName"
类型： REG_SZ
值: "mxknbt"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "ImagePath"
类型： REG_SZ
值: "C:\WINDOWS\system32\SVCHOST.EXE -k mxknbt"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt\Parameters]
注册表值: "ServiceDll"
类型： REG_SZ
值: "%SystemRoot%\System32\hhlign.fde"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mxknbt]
注册表值: "Start"
类型：DWORD
键值: 2 (0x2)
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\yxknbtwb]
注册表值: "DisplayName"
类型： REG_SZ
值: "yxknbtwb"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\yxknbtwb]
注册表值: "ImagePath"
类型： REG_SZ
值: "\??\C:\WINDOWS\system32\drivers\hhlign.sys"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\yxknbtwb]
注册表值: "Start"
类型：DWORD
键值: 2 (0x2)