BKDR_MISDAT.AC
Backdoor:Win32/Misdat.A!dha (Microsoft); Backdoor.Win32.Misdat.b (Kaspersky); Backdoor.Misdat!gen1 (Symantec);
Windows
恶意软件类型:
Backdoor
有(yǒu)破坏性？:
没有(yǒu)
加密？:
没有(yǒu)
In the Wild:
是的
概要
它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。
技(jì )术详细信息
安(ān)装(zhuāng)
它在受感染的系统中(zhōng)植入并执行下列自身副本：
- %Program Files%\Common Files\{Unique Identifier}\msdtc.exe
(注意: %Program Files% 是缺省的 Program Files 文(wén)件夹，通常位于 C:\Program Files。)
自启动技(jì )术
它添加下列注册表项，在系统每次启动时自行执行：
HKEY_CURRENT_USER\Software\{variable 1}
StubPath = "%Program Files%\Common Files\{Unique Identifier}\msdtc.exe /Start"
其他(tā)系统修改
它删除下列文(wén)件：
- %System Root%\{variable 2}
(注意： %System Root% 是根文(wén)件夹，通常位于 C:\。它也是操作(zuò)系统所在的位置。)
它添加下列注册表键值:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components
(Guid) =
后门例程
它执行遠(yuǎn)程恶意用(yòng)户的下列命令：
- execute shell commands
- file manipulation (rename file, delete, run, open, stop)
- list files
- list directories
- list drives
- Upload arbitrary files
- Download arbitrary files
- Restart System
- Shutdown system
- close connection to C&C
- uninstall
解决方案
Step 1
对于Windows ME和XP用(yòng)户，在扫描前，请确认已禁用(yòng)系统还原功能(néng)，才可(kě)全面扫描计算机。
Step 3
重启进入安(ān)全模式
Step 4
删除该注册表值
注意事项：错误编辑Windows注册表会导致不可(kě)挽回的系统故障。只有(yǒu)在您掌握后或在系统管理(lǐ)员的帮助下才能(néng)完成这步。或者，请先阅读Microsoft文(wén)章，然后再修改计算机注册表。
- In HKEY_CURRENT_USER\Software\{variable 1}
- StubPath = "%Program Files%\Common Files\{Unique Identifier}\msdtc.exe /Start"
- StubPath = "%Program Files%\Common Files\{Unique Identifier}\msdtc.exe /Start"
Step 5
删除该注册表键值
注意事项：错误编辑Windows注册表会导致不可(kě)挽回的系统故障。只有(yǒu)在您掌握后或在系统管理(lǐ)员的帮助下才能(néng)完成这步。或者，请先阅读Microsoft文(wén)章，然后再修改计算机注册表。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components
- (Guid)
- (Guid)
Step 6
重启进入正常模式，使用(yòng)亚信安(ān)全产(chǎn)品扫描计算机，检测BKDR_MISDAT.AC文(wén)件 如果检测到的文(wén)件已被亚信安(ān)全产(chǎn)品清除、删除或隔离，则无需采取进一步措施。可(kě)以选择直接删除隔离的文(wén)件。请参阅知识库页(yè)面了解详细信息。