藏身注册表的Poweliks木马出现 360第一时间拦截

浏览:
字体:
发布时间:2014-08-13 08:33:58
来源:

近期,国外安全公司GData发出名为Poweliks的木马警报,该木马的特点是不在中招机器上安装任何文件,而是依靠注册表隐藏恶意代码,从而绕过不少杀毒软件的防御。不过中国网民无需对此木马担忧,根据木马样本测试,360安全卫士和360杀毒可直接拦截并查杀Poweliks。

图:360安全卫士拦截Poweliks木马

Poweliks木马一般会利用邮件传播,在邮件里附带包含恶意代码的Word文档,当收件人打开文档时,恶意代码会触发一个Word漏洞(CVE-2012-0158)实施入侵。如果电脑没有打好补丁或安装有效的安全软件,Poweliks会启动后自删除,然后把加密的恶意代码写入注册表,由注册表里一个不加密的启动项来解密运行。

360网络攻防实验室负责人表示,Poweliks木马信息早在今年4月就公开了,该木马使用的攻击方法在国内也曾经出现过。基于对恶意程序的行为判断,360安全卫士和360杀毒“云主动防御”无需升级就可拦截此类木马。

据了解,Poweliks执行原理如同俄罗斯套娃一样,一层套着一层,最初执行JScript代码,一系列判断之后最终执行包含恶意代码的PowerShell脚本。并且Poweliks会查询机器的硬编码IP地址,攻击者可以执行任意命令,如下载一些攻击的payload等。

世界在线杀毒扫描网站VirusTotal也显示,无论是利用Word漏洞实施第一阶段入侵的恶意文档,还是由此文档释放出来来的Poweliks木马程序,目前包括360、卡巴斯基、NOD32等杀毒软件都可以进行查杀,电脑用户如果近期不慎打开过来历不明的Word文档,可以使用上述软件全盘扫描杀毒,以免电脑被木马病毒暗中控制。

Poweliks行为特征:

1、利用MicrosoftWord中的漏洞制作Word文件,然后通过电子邮件方式传播;

2、创建一个隐藏的自启动注册表项;

3、解码该启动项之后发现:代码中一部分会判断系统是否安装了PowerShell,另外一部分是经过Base64编码的PowerShell脚本,该脚本调用并执行攻击者定义的shellcode;

4、shellcode会执行Windows二进制文件的payload,该payload会查询机器硬编码的IP地址,以接受攻击者的进一步指令;

5、以上所有的执行过程全部存储在注册表中,没有任何文件被创建。

>更多相关文章
24小时热门资讯
24小时回复排行
资讯 | QQ | 安全 | 编程 | 数据库 | 系统 | 网络 | 考试 | 站长 | 关于东联 | 安全雇佣 | 搞笑视频大全 | 微信学院 | 视频课程 |
关于我们 | 联系我们 | 广告服务 | 免责申明 | 作品发布 | 网站地图 | 官方微博 | 技术培训
Copyright © 2007 - 2024 Vm888.Com. All Rights Reserved
粤公网安备 44060402001498号 粤ICP备19097316号 请遵循相关法律法规
');})();