AVG·北京

新闻中心

more

相关资料

more

所获奖项

view more awards
现在位置:首页 >> 新闻中心 浏览正文

BAT病毒卷土重来,悄无声息攻城略地



AVG: BAT病毒卷土重来,悄无声息攻城略地

创建文件、恶意篡改IE主页这些司空见惯的病毒行为,人们早已熟悉。各家杀毒软件的扫描引擎也早就对这些敏感字符串加以监控,只要程序中包含这些内容就将被视为可疑文件,从而大大降低病毒的存活几率。但“顽强”的病毒作者们总会想尽一切办法来进行对抗。

最近,AVG中国病毒实验室就侦测到一种新型的bat病毒,正在悄然蔓延。

与以往常见bat病毒的不同在于:此次的病毒是将内容以十六进制形式分散写入多个文件,然后将这些文件进行拼接组合,生成最终的恶意程序。

拼接的方法是采用copy A /b + B /b + ...(/b以二进制形式)。

将众多“正常”文件巧妙组合成病毒文件,拼接过程中没有出现明文的字符串,降低了被检测到的几率。

下面来看下病毒的具体行为:

1.首先在D盘下创建msn\gaming文件夹,设置属性为系统+隐藏。

2.在桌面创建“淘”字样图标,修改IE主页,添加导航网页和钓鱼网页,自启动。

3.拼接生成2个exe文件link.exe和Ker.exe,用于启动tmptwo.bat, “start /min”是最小化运行,从而降低了被发现的几率。

Tmptwo.bat用于启动fuck.bat。

fuck.bat用于实现2的功能。(该文件也是拼接生成)

4.清理这些用于拼接的临时文件。

在后续的变种中,为了逃避杀软的查杀,病毒作者在原有基础上做了修改。 一种是修改bat文件的头部,加入了用于混淆的垃圾代码。

另一种是给批处理文件加密,方法是在文件头部加上FFEF,让记事本一类的文本编辑器以UNICODE方式打开批处理文件,就会显示乱码,但Windows本身并不认为这个文件是UNICODE格式文件,依然依次执行文件中的每条命令,批处理文件仍然能够正常运行。

切换到十六进制模式显示如下代码:

如果强行在要被加密的批处理文件头增加UNICODE文件头FFFE,肯定会造成被加密批处理文件的第一条命令执行错误,而作者,在FFFE后面加了一个0D0A,这是个回车换行命令,这样就不会影响被加密文件第一条命令的执行。

AVG已经将其检测为Bat/Agent,能有效阻止该恶意软件。在这里,AVG不得不提醒广大用户,及时更新病毒库、定时查杀,养成良好的上网习惯才是王道;另外,网上冲浪特别是在网购的时候,看好官方网站再登入,千万不要被山寨网购网站所迷惑。

想要获得更全面的安全保护,欢迎访问www.avg.com