“PE远程后门”感染文件、打开系统后门

"PE远程后门844800"（PE.PECrypt.ze），这是一个PE病毒，它会感染Windows下所有的PE格式文件。病毒作者为病毒代码设置了加密，使病毒特征无法定位，试图以此阻止安全软件对它进行查杀。当它感染完文件后，就会释放出木马文件并执行，在用户电脑上制造后门，便于黑客入侵。

"AUTO病毒15598"（Win32.Troj.AutoRunT.ad.15598），这是一个下载者病毒。它会查找并关闭安全软件的提示窗口。如果用户电脑中安装有杀毒软件卡巴斯基，病毒会修改系统日期，使卡巴失效。然后，它会下载病毒文件，并在系统上的每个磁盘下生成 autorun.inf 文件，扩散自己的传播范围。

一、"PE远程后门844800"（PE.PECrypt.ze） 威胁级别：★

PE的意思是可移植的执行体，即portable executable，这是windows下广泛存在的一个32位的文件格式，PE病毒指的自然也就是感染这类文件的病毒。由于需要自己设置比较复杂的函数调用方式，PE病毒成为一些病毒作者用以炫耀自己技术的产品，在这样的情况下，PE病毒层出不穷。

毒霸的反病毒工程师昨日处理的病毒中，就有一个PE病毒。它传播的方式是随着被感染的文件进入用户电脑，而当用户运行被感染的文件时，就会将其激活。

病毒被激活后，会立即运行起来。它将被感染的文件重新拆成正常文件和自己的病毒文件~ZY7.tmp，并把它们释放到系统临时文件夹中运行。由于文件会正常运行，用户一般难以发现自己电脑已经中毒。而这时，那个独立的病毒文件除了会搜寻别的正常文件进行感染外，还会试图打开用户的系统后门。原来，它是一个远程控制后门程序。当病毒成功开启后门，木马种植者（黑客）就能远程控制用户的电脑，进行任何想要的系统操作，甚至盗取用户的个人隐私和商业资料。

经毒霸反病毒工程师的分析，被感染后的文件入口地址被改到最后一个节表的病毒代码处执行，关键病毒代码被加密，前面一段代码就是解密后面的加密指令。病毒作者试图以此阻止安全软件的查杀，但毒霸仍可彻底清除该毒，因此已安装毒霸的用户们大可放心。不过，还是要再次提醒大家，在进行下载和接收他人从网上发来的文件时，最好用杀毒软件进行一下扫描，防止感染型病毒的潜入。

关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/pe-pecrypt-ze-844800-50474.html

二、"AUTO病毒15598"（Win32.Troj.AutoRunT.ad.15598） 威胁级别：★

随着U盘等移动存储设备价格降低，越来越多人养成随身携带U盘的习惯，一些病毒作者看准这一点，制作出大量可利用U盘传播的AUTO病毒。在毒霸反病毒分析师昨日处理的病毒中，就有不少AUTO病毒，我们选出其中传播倾向较高的一个，为大家介绍其破坏原理。

此病毒进入系统后，在%WINDOWS%system32目录下释放出一个隐藏属性的病毒文件Dser.exe ，为防止用户恢复文件显示模式后发现该文件，病毒还将这个文件伪装成"系统"文件，试图迷惑用户。

接着，它判断系统盘%WINDOWS%system32drivers目录下是否有 klif.sys 这个文件。这个文件其实是杀毒软件卡巴斯基的一部分，如果病毒找到这个文件，就会修改当前系统时间为 1981-01-12 ，令依赖系统时间进行升级和激活的卡巴斯基失效。

病毒继续运行。它创建线程，查找窗口标题名为"IE 执行保护"、"IE执行保护"、"瑞星卡卡上网安全助手 – IE防漏墙"的窗口。如发现，则向其发送鼠标消息，模拟用户点击鼠标发出的命令，将其关闭。以阻止用户获知系统中的异常。

在病毒运行的后期，它在后台悄悄连接http:/ /www.8**ao***mm.bj.cn 这个由木马种植者指定的地址，下载一批名称为 123.exe 至 128.exe 编号的木马文件，给用户的系统安全引来更多无法估计的威胁。

此外，为扩大传染范围，病毒在电脑的每个磁盘分区下都创建AUTO病毒文件 autorun.inf 和 Dser.exe，只要用户双击磁盘或在中毒电脑上使用U盘等移动存储设备，病毒就会被再次激活，搜寻所有磁盘进行感染。

毒霸反病毒分析师建议用户利用清理专家中的自动运行管理工具，关闭移动设备的自动运行，这样可以极大地阻止病毒利用U盘进行传播。

关于该病毒的详细分析报告，可在金山病毒大百科中查阅：http://vi.duba.net/virus/win32-troj-autorunt-ad-15598-50475.html

金山反病毒工程师建议

1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。

金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2008年3月19的病毒库即可查杀以上病毒；如未安装金山毒霸，可以登录http://www.duba.net免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010-82331816，反病毒专家将为您提供帮助。

未经允许不得转载：DOIT » “PE远程后门”感染文件、打开系统后门