彩虹桥木马程序backdoor.win32.bifrose.gel检查并杀死

彩虹桥木马摘要

Rainbow Bridge Trojan是用vb编写的后门程序，它由微点主动防御软件自动捕获，没有脱壳，样本长度为“ 421,376字节”，图标为“

”，使用“ exe”扩展名通过“诱使用户单击”，“文件绑定”等方式植入到用户计算机中。

Rainbow Bridge木马的主要功能可以窃取文件，窃取密码，录制键盘和摄像机，从而使用户隐私完全暴露给病毒种植者并成为p主机

彩虹桥木马分析

执行示例后，将修改注册表，该映像劫持了以下安全软件进程，并将以下进程指向“ ifeofile”。相关过程如下：

在系统目录“％systrmdrive％”下创建一个“ temp”文件夹，将随机文件名文件“ qpxyn492008d.exe”释放到该目录，然后运行它。

运行“ qpxyn492008d.exe”后，它将以挂起模式启动进程“ iexplore.exe”，申请空间以编写其自己的代码，并且执行远程线程将运行编写的代码作为其线程之一，“ iexplore.exe”“启动后，将” qpxyn492008d.exe“复制到系统目录”％commonprogramfiles％\ microsoft shared \ msinfo \“，并将其重命名为” network.exe“，修改注册表，然后注册” network“。 exe”作为服务，相关的注册表项如下：

项目：“ hkey_local_machine \ system \ currentcontrolset \ services \网络位置”

键：“类型”

数据：110

键：“开始”

数据：“ 02”

键：“图像路径”

数据：“ c：\ program files \ common files \ microsoft shared \ msinfo \ network.exe”

键：“显示名称”

数据：“网络位置感知”

键：“说明”

数据：“收集并保存网络配置和位置信息”

然后，“ iexplore.exe”将删除“ qpxyn492008d.exe”，并且后台网络将通过空格“ ** / 2 ** 8dnewip.txt”读取后门种植者设置的ip地址和端口号，以进行反向操作连接，连接成功后，与黑客进行通信并接受黑客的控制，使受病毒感染的主机成为木偶主机。

针对彩虹桥木马的预防措施

已安装Micropoint Active Defense软件的用户不需要任何设置。 Micropoint Active Defense将自动保护您的系统免受病毒入侵和破坏。无论您是否已升级到最新版本，Micropoint Active Defense都可以有效地删除病毒。如果尚未将Micropoint Active Defense软件升级到最新版本，Micropoint Active Defense软件将在发现病毒后提醒您找到“未知木马”，请直接将其删除（如1）所示；

图1主动防御会自动捕获未知病毒（未升级）

如果您已将Micropoint主动防御软件升级到最新版本，Micropoint会提醒您找到“ backdoor.win32.bifrose.gel”，请选择直接将其删除（如2）中所示。

图2升级后拦截的已知病毒

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-330385-1.html