病毒名称(中文):
局域网监视器5120
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
木马程序
病毒长度:
5120
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个感染型的后门程序。它会扫描本地磁盘的文件进行感染,同时会枚举局域网内资源,通过感染局域网内共享文件进行传播。它会打开端口监听,在后台执行黑客命令。
1.会把自身拷贝到系统目录中,C:\windows\system32\drone.exe。
2.注册为服务启动,服务名为drone。
3.开启一个线程,循环从C:\到Z:\盘查找文件,假如是目录,则判定是否是windows,winnt,progamfiles这几个目录,如是则跳过这几个目录,否则对找到的目录再进行递归查找。假如是文件则判定是否是PE文件,主要感染.exe,.ocx,.scr文件,并排除一些文件,感染通过在文件尾新建块和构造块表,并修改OEP来完成。
4.程序不停的枚举局域网内的资源,假如是计算机则递归查找,是文件就继续感染,从而在局域网内进行传播。
5.程序打开一个线程在30467端口上监听,通过后台开启cmd执行命令,从而较隐蔽。