特洛伊病毒Win32.Mitglieder.DH > 病毒库 > 特洛伊木马 > 高危害

	公司首页		公司简介		技术支持		企业用户		联系我们
	HOME		COMPANY		SUPPORT		ENTERPRISE		CONTACT US

	病毒资料查询

	常见问题查询

	病毒代码库升级

	技术问题提交

	常见病毒专用工具

	产品相关下载

	KILL8.1防病毒软件升级书 New!

	冠群金辰产品试用申请New!

	在线杀毒


	主页 >> 技术支持

病毒名称：特洛伊病毒Win32.Mitglieder.DH
其它名称：Win32/Mitglieder.DH, Win32/Mitglieder.DH!Trojan
病毒属性：特洛伊木马	危害性：高危害	流行程度：
具体介绍：
病毒特性： Win32.Mitglieder.DH是一种特洛伊病毒，能够在被感染机器上打开一个后门，并作为一个SOCKS 4代理。特洛伊还会定期的连接与感染相关的信息的网站。我们已经获得了多个样本，这些样本的大小在19,471 和 20,36字节之间。感染方式：为了感染一台机器，特洛伊复制自身到%System%\wintems.exe。注：文件大小是可变的。我们获得的文件大小有： § 19,471 字节 § 19,516字节 § 19,736字节 § 20,036字节随后生成2个DLL文件： %System%\forõ.exe (11,786 字节) and %System%\noat.exe (3,504 字节)。注：'%System%'是一个可变的路径。病毒通过查询操作系统来决定System文件夹的位置。Windows 2000 and NT默认的系统安装路径是C:\Winnt\System32; 95,98 和 ME 的是C:\Windows\System; XP 的是C:\Windows\System32。不同的程序按以下方法使用：一旦运行，wintems.exe 将 noat.exe 注入到Explorer.exe，依次下载forõ.exe，包含特洛伊的主要功能。允许特洛伊伪装在Explorer下运行。 Mitglieder.DH生成以下键值，为了在每次系统启动时运行病毒： HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\german.exe = "%System%\wintems.exe" 危害： SOCKS Proxy/后门功能 Mitglieder.DH在11225端口打开一个后门，作为SOCKS 4代理。另外，通过后门可以执行很多命令，包括以下： § 改变后门端口号 § 更新特洛伊 § 下载并运行文件 § 卸载特洛伊 § 在被感染机器上运行文件 § 通过URL下载并运行文件终止进程特洛伊检查所有的正在运行的程序，配比以下列表，并终止这些进程： OUTPOST.EXE NMAIN.EXE NORTON_INTERNET_SECU_3.0_407.EXE NPF40_TW_98_NT_ME_2K.EXE NPFMESSENGER.EXE NPROTECT.EXE NSCHED32.EXE NTVDM.EXE NVARCH16.EXE KERIO-WRP-421-EN-WIN.EXE KILLPROCESSSETUP161.EXE LDPRO.EXE LOCALNET.EXE LOCKDOWN.EXE LOCKDOWN2000.EXE LSETUP.EXE CLEANPC.EXE AVprotect9x.exe CMGRDIAN.EXE CMON016.EXE CPF9X206.EXE CPFNT206.EXE CV.EXE CWNB181.EXE CWNTDWMO.EXE ICSSUPPNT.EXE DEFWATCH.EXE DEPUTY.EXE DPF.EXE DPFSETUP.EXE DRWATSON.EXE ENT.EXE ESCANH95.EXE AVXQUAR.EXE ESCANHNT.EXE ESCANV95.EXE AVPUPD.EXE EXANTIVIRUS-CNET.EXE FAST.EXE FIREWALL.EXE FLOWPROTECTOR.EXE FP-WIN_TRIAL.EXE FRW.EXE FSAV.EXE AUTODOWN.EXE FSAV530STBYB.EXE FSAV530WTBYB.EXE FSAV95.EXE GBMENU.EXE GBPOLL.EXE GUARD.EXE GUARDDOG.EXE HACKTRACERSETUP.EXE HTLOG.EXE HWPE.EXE IAMAPP.EXE IAMAPP.EXE IAMSERV.EXE ICLOAD95.EXE ICLOADNT.EXE ICMON.EXE ICSUPP95.EXE ICSUPPNT.EXE IFW2000.EXE IPARMOR.EXE IRIS.EXE JAMMER.EXE ATUPDATER.EXE AUPDATE.EXE KAVLITE40ENG.EXE KAVPERS40ENG.EXE KERIO-PF-213-EN-WIN.EXE KERIO-WRL-421-EN-WIN.EXE BORG2.EXE BS120.EXE CDP.EXE CFGWIZ.EXE CFIADMIN.EXE CFIAUDIT.EXE AUTOUPDATE.EXE CFINET.EXE NAVAPW32.EXE NAVDX.EXE NAVSTUB.EXE NAVW32.EXE NC2000.EXE NCINST4.EXE AUTOTRACE.EXE NDD32.EXE NEOMONITOR.EXE NETARMOR.EXE NETINFO.EXE NETMON.EXE NETSCANPRO.EXE NETSPYHUNTER-1.2.EXE NETSTAT.EXE NISSERV.EXE NISUM.EXE CFIAUDIT.EXE LUCOMSERVER.EXE AGENTSVR.EXE ANTI-TROJAN.EXE ANTI-TROJAN.EXE ANTIVIRUS.EXE ANTS.EXE APIMONITOR.EXE APLICA32.EXE APVXDWIN.EXE ATCON.EXE ATGUARD.EXE ATRO55EN.EXE ATWATCH.EXE AVCONSOL.EXE AVGSERV9.EXE AVSYNMGR.EXE BD_PROFESSIONAL.EXE BIDEF.EXE Drvddll.exe drvsys.exe BIDSERVER.EXE BIPCP.EXE BIPCPEVALSETUP.EXE BISP.EXE BLACKD.EXE BLACKICE.EXE BOOTWARN.EXE NWINST4.EXE NWTOOL16.EXE OSTRONET.EXE OUTPOSTINSTALL.EXE OUTPOSTPROINSTALL.EXE PADMIN.EXE PANIXK.EXE PAVPROXY.EXE DRWEBUPW.EXE PCC2002S902.EXE PCC2K_76_1436.EXE PCCIOMON.EXE PCDSETUP.EXE PCFWALLICON.EXE PCFWALLICON.EXE PCIP10117_0.EXE PDSETUP.EXE PERISCOPE.EXE PERSFW.EXE PF2.EXE AVLTMAIN.EXE PFWADMIN.EXE PINGSCAN.EXE PLATIN.EXE POPROXY.EXE POPSCAN.EXE PORTDETECTIVE.EXE PPINUPDT.EXE PPTBC.EXE PPVSTOP.EXE PROCEXPLORERV1.0.EXE PROPORT.EXE PROTECTX.EXE PSPF.EXE WGFE95.EXE WHOSWATCHINGME.EXE AVWUPD32.EXE NUPGRADE.EXE WHOSWATCHINGME.EXE WINRECON.EXE WNT.EXE WRADMIN.EXE WRCTRL.EXE WSBGATE.EXE WYVERNWORKSFIREWALL.EXE XPF202EN.EXE ZAPRO.EXE ZAPSETUP3001.EXE ZATUTOR.EXE CFINET32.EXE CLEAN.EXE CLEANER.EXE CLEANER3.EXE CLEANPC.EXE CMGRDIAN.EXE CMON016.EXE CPD.EXE CFGWIZ.EXE CFIADMIN.EXE PURGE.EXE PVIEW95.EXE QCONSOLE.EXE QSERVER.EXE RAV8WIN32ENG.EXE REGEDT32.EXE REGEDIT.EXE UPDATE.EXE RESCUE.EXE RESCUE32.EXE RRGUARD.EXE RSHELL.EXE RTVSCN95.EXE RULAUNCH.EXE SAFEWEB.EXE SBSERV.EXE SD.EXE SETUP_FLOWPROTECTOR_US.EXE SETUPVAMEEVAL.EXE SFC.EXE SGSSFW32.EXE SH.EXE SHELLSPYINSTALL.EXE SHN.EXE SMC.EXE SOFI.EXE SPF.EXE SPHINX.EXE SPYXX.EXE SS3EDIT.EXE ST2.EXE SUPFTRL.EXE LUALL.EXE SUPPORTER5.EXE SYMPROXYSVC.EXE SYSEDIT.EXE TASKMON.EXE TAUMON.EXE TAUSCAN.EXE TC.EXE TCA.EXE TCM.EXE TDS2-98.EXE TDS2-NT.EXE TDS-3.EXE TFAK5.EXE TGBOB.EXE TITANIN.EXE TITANINXP.EXE TRACERT.EXE TRJSCAN.EXE TRJSETUP.EXE TROJANTRAP3.EXE UNDOBOOT.EXE VBCMSERV.EXE VBCONS.EXE VBUST.EXE VBWIN9X.EXE VBWINNTW.EXE VCSETUP.EXE VFSETUP.EXE VIRUSMDPERSONALFIREWALL.EXE VNLAN300.EXE VNPC3000.EXE VPC42.EXE VPFW30S.EXE VPTRAY.EXE VSCENU6.02D30.EXE VSECOMR.EXE VSHWIN32.EXE VSISETUP.EXE VSMAIN.EXE VSMON.EXE VSSTAT.EXE VSWIN9XE.EXE VSWINNTSE.EXE VSWINPERSE.EXE W32DSM89.EXE W9X.EXE WATCHDOG.EXE WEBSCANX.EXE CFIAUDIT.EXE CFINET.EXE ICSUPP95.EXE MCUPDATE.EXE CFINET32.EXE CLEAN.EXE CLEANER.EXE LUINIT.EXE MCAGENT.EXE MCUPDATE.EXE MFW2EN.EXE MFWENG3.02D30.EXE MGUI.EXE MINILOG.EXE MOOLIVE.EXE MRFLUX.EXE MSCONFIG.EXE MSINFO32.EXE MSSMMC32.EXE MU0311AD.EXE NAV80TRY.EXE ZAUINST.EXE ZONALM2601.EXE ZONEALARM.EXE 连接站点 Mitglieder.DH定期链接以下站点，这些站点与被感染机器的信息相关。包括运行后门的端口号和被感染机器的IP地址。 http://avistrade.ru/prog/img/proizvod/ http://mir-vesov.ru/p/lang/CVS/ http://monomah-city.ru/vakans/ http://pvcps.ru/images/ http://roszvetmet.com/images/ http://schiffsparty.de/bilder/uploads/ http://service6.valuehost.ru/images/ http://stroyindustry.ru/service/construction/ http://vladzernoproduct.ru/control/sell/t/ http://www.13tw22rigobert.de/_themes/kopie-von-fantasie-in-blau/ http://www.deadlygames.de/DG/BF/BF-Links/clans/ http://www.emil-zittau.de/karten/ http://www.etype.hostingcity.net/mysql_admin_new/images/ http://www.levada.ru/htmlarea/images/ http://www.mirage.ru/sport/omega/pic/omega/ http://www.ordendeslichts.de/intern/ http://8marta.ru/img/path/ http://asvt.ru/images/ http://calimasurf.com/images/base/orig/ http://celebrationsinspain.com/images/ http://coral-adventures.com/images/ http://dearruthie.com/images/ http://dmax.ru/images/ http://efpa-eg.net/images/ http://ferrumcomp.ru/images/ http://financialbusiness.ca/images/ http://golden-ring.net/images/ http://goodbathscents.com/images/ http://jamminjo.com/images/ http://kmold.biz/images/ http://kokon.com/images/ http://komt.ru/images/ http://magian.ru/images/ http://merkur-akademie.de/images/ http://nakorable.ru/htdocs/img/ http://optimsasia.com/images/ http://raz-naraz.wz.cz/html/fanklub/ http://redshop.ru/images/ http://sdom.ru/images/ http://spbso.ru/images/ http://tarkan.ru/images/ http://transaerotours.ru/img/ http://www.ipromocionales.com/images/ http://www.katjas-reisen.de/blog/images/colors/ http://www.moscowapartments.ru/images/_vti_cnf/ http://www.pechki.ru/images/ http://www.rhone.ch/images/ http://www.zdom.ru/images/ 下载文件特洛伊从以下站点每隔1小时下载一个IP地址列表，保存到%System%\ban_list.txt。这个文件用来链接后门。 http://avistrade.ru/prog/img/proizvod/ http://mir-vesov.ru/p/lang/CVS/ http://monomah-city.ru/vakans/ http://pvcps.ru/images/ http://service6.valuehost.ru/images/ http://www.13tw22rigobert.de/_themes/kopie-von-fantasie-in-blau/ http://trehrechie.ru/images/ http://turnstylesticketing.com/images/ http://twilightzone.cz/distro/ http://vniipo.ru/images/_notes/ http://voelckergmbh.de/images/ http://vserozetki.ru/images/ http://vtr-spb.ru/fp/mikrobus/gazel/ http://www.belteh.ru/images/ludi/ http://www.bmblawfirm.com/images/ http://www.enertelligence.com/playitsafe/images/ http://www.enkor.ru/images/ http://www.g-antssoft.com/images/icon/jpg/blog/ 停止并使服务失效在WindowsXP 和 2000 上，Mitglieder.DH尝试停止以下服务，并使之失效： Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS) service (the "SharedAccess" service), 和 the Security Center service ("wscsvc" - Windows XP Service Pack 2中引入) 在 Windows XP 系统上。其他信息特洛伊生成一个名为'zorr10'的互斥体，以确保每次只有一个副本运行。它还会生成以下键值供它自己使用： HKCU\SOFTWARE\DateTime1\Uid = <唯一的 ID> HKCU\SOFTWARE\DateTime1\Port = <端口号> HKCU\SOFTWARE\DateTime1\wdrn = 1/0 - 指出它是一个新的或者旧的感染。
清除：
KILL安全胄甲InoculateIT 23.70.93，Vet 11.x/9501 版本可检测/清除此病毒。
kill版本：

		北京冠群金辰软件有限公司版权所有2008-2011 Copyright(c)2008 by kill.com.cn All right reserver	公司简介 \| 荣誉证书 \| 销售许可 \| 联系我们 \| 加入我们
			ICP备案编号：京ICP备05003498号

jia.lihua@ca-jc.com ; zhou.weichen@ca-jc.com; xu.jianbin@ca-jc.com; yu.shenbao@ca-jc.com; chen.zhongyi@ca-jc.com