Win32.Hack.Firefly.ek

病毒别名： 处理时间：2006-12-16 威胁级别：★

中文名称： 病毒类型：黑客程序 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个黑客后门程序，病毒运行后会连接远程主机，使用户受控于黑客。

1、释放病毒文件到如下路径：

C:Program Filesfirefly-remoteInstall.DLL

C:Program Filesfirefly-remoteFirefly.ini

C:Program Filesfirefly-remoteFirefly.exe

2、添加如下注册表项，注册服务，开机自动启动：

HKLMSystemCurrentControlSetServicesRemote Control

Type = 0x110

HKLMSystemCurrentControlSetServicesRemote Control

Start = 0x2

HKLMSystemCurrentControlSetServicesRemote Control

ErrorControl = 0x0

HKLMSystemCurrentControlSetServicesRemote Control

ImagePath = "C:Program Filesfirefly-remotefirefly.exe"

HKLMSystemCurrentControlSetServicesRemote Control

ObjectName = "LocalSystem"

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL

NextInstance = 0x1

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000Control

*NewlyCreated*=0x0

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000

Service="Remote Control"

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000

Legacy=0x1

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000

ConfigFlags=0x0

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000

Class="LegacyDriver"

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000

ClassGUID="{8ECC055D-047F-11D1-A537-0000F8753ED1}"

HKLMSYSTEMCURRENTCONTROLSETENUMROOTLEGACY_REMOTE_CONTROL000

DeviceDesc = "Remote Control"

HKLMSYSTEMCURRENTCONTROLSETSERVICESRemote ControlEnum

0="RootLEGACY_REMOTE_CONTROL000"

HKLMSYSTEMCURRENTCONTROLSETSERVICESRemote ControlEnum

Count=0x1

HKLMSYSTEMCURRENTCONTROLSETSERVICESRemote ControlEnum

NextInstance=0x1

3、插入IE进程，连接远程主机，等待黑客命令。