MIRC Trojan liên quan ð?n t?n công phát hi?n và s?a ch?a

C?P NH?T: Theo s? 6 tháng 9 nãm 2002, báo cáo v? ho?t ð?ng ð?c h?i mà theo các mô h?nh c? th? ðý?c v?ch ra trong bài vi?t này ð? gi?m ði m?t cách ðáng k?. Nhóm b?o m?t Microsoft s?n ph?m h? tr? d?ch v? có l?n này bài vi?t cõ s? ki?n th?c Microsoft ð? ph?n ánh thông tin này và ð? tinh ch?nh các ð? xu?t cho phát hi?n và s?a ch?a các tiêu chí.

Microsoft có ði?u tra s? gia tãng trong ho?t ð?ng ð?c h?i mà c? g?ng ð? n?p m? trên Microsoft Windows 2000 d?a trên máy ch?. Ho?t ð?ng này ðý?c liên k?t thý?ng v?i chýõng tr?nh ð? ðý?c xác ð?nh là Backdoor.IRC.Flood.

B?i phân tích các máy tính ð? b? t?n h?i, Microsoft ð? xác ð?nh r?ng các cu?c t?n công không xu?t hi?n ð? khai thác b?t k? b?o m?t liên quan ð?n s?n ph?m m?i l? h?ng và dý?ng nhý không có virus ho?c sâu nhý trong t? nhiên. Thay vào ðó, các cu?c t?n công t?m cách ð? t?n d?ng l?i th? c?a các t?nh hu?ng nõi tiêu chu?n bi?n pháp ph?ng ng?a ð? không ðý?c th?c hi?n chi ti?t trong ph?n "Ph?ng ng?a". Các ho?t ð?ng xu?t hi?n ð? ðý?c k?t h?p v?i m?t lo?t ph?i h?p các n? l?c cá nhân ð? th?a hi?p Windows 2000 d?a trên máy ch?. K?t qu? là, th?a hi?p thành công ð? l?i m?t mô h?nh ð?c bi?t. Bài này li?t kê t?p và chýõng tr?nh s? cung c?p b?ng ch?ng c?a m?t s? thành công theo ði?u này m?u ð? các b?n có th? có hành ð?ng thích h?p ð?:

• Phát hi?n máy tính b? xâm ph?m.
• S?a ch?a và ph?c h?i máy tính b? xâm ph?m.

Tác ð?ng c?a cu?c t?n công

S? th?a hi?p c?a máy ch?

Hiêòn týõòng

Th?a hi?p h? th?ng hi?n th? m?t ho?c nhi?u các tri?u ch?ng sau ðây:

• Ph?n m?m ch?ng vi-rút có th? ch? ra r?ng nó ð? phát hi?n Trojans, ch?ng h?n nhý Backdoor.IRC.Flood và các bi?n th? c?a nó. Hi?n t?i ch?ng virus s?n ph?m (có s? d?ng t?p tin ch? k? up-to-) phát hi?n các Trojans.
• N?u máy tính b? xâm ph?m là ði?u khi?n vùng, các chính sách b?o m?t l?n. M?t s? hi?u ?ng có th? c?a m?t s?a ð?i chính sách b?o m?t là:
  • Trýõng m?c khách mà trý?c ðây ð? vô hi?u hóa là tái kích ho?t.
  • Tài kho?n không ðý?c phép m?i, có th? v?i hành chính ð?c quy?n, ðý?c t?o ra.
  • C?p phép b?o m?t ðý?c thay ð?i trên h? ph?c v? ho?c trong Thý m?c ho?t ð?ng.
  • Ngý?i dùng không th? ðãng nh?p vào vùng t? các máy tr?m.
  • Ngý?i dùng không th? m? thý m?c ho?t ð?ng snap-in trong Microsoft Management Console (MMC).
  • Khi m?t qu?n tr? viên c? g?ng ð? m? các ho?t ð?ng Thý m?c các trang web và các d?ch v? bám-theo, b?n nh?n ðý?c thông báo l?i sau:
    Ð?t tên thông tin không th? ðý?c v? trí b?i v?: h? ph?c v? không ph?i là ho?t ð?ng. Liên h? v?i ngý?i qu?n tr? h? th?ng ð? xác minh r?ng b?n tên mi?n c?u h?nh ðúng và là hi?n nay ðang online.
  • Các b?n ghi l?i hi?n th? nhi?u n? l?c ðãng nh?p th?t b?i t? h?p pháp ngý?i dùng ð? b? khóa ra ngoài.
  • Khi b?n c? g?ng ch?y DCDIAG trên b? ki?m soát mi?n, b?n có th? nh?n ðý?c m?t ho?c nhi?u các thông báo l?i sau ðây:
    Th?c hi?n các thi?t l?p ban ð?u: [sic1] ràng bu?c LDAP th?t b?i v?i l?i 31, m?t thi?t b? g?n vào h? th?ng không ho?t ð?ng.
    Th?c hi?n các thi?t l?p ban ð?u: [Tên maìy chuÒ] Ràng bu?c LDAP th?t b?i v?i l?i 1323, không th? C?p Nh?t m?t kh?u. Giá tr? cung c?p nhý m?t kh?u hi?n th?i là không chính xác. *** L?i: Các máy tính không th? ðính kèm theo các DC v? các ch?ng ch? là không ðúng. Ki?m tra ?y nhi?m c?a b?n ho?c ch? ð?nh thông tin ðãng nh?p v?i /u:<domain>\<user> & /p:[<password>|*|""]</password></user></domain>
    Chuì yì Trong thông báo l?i này, Tên maìy chuÒ laÌ tên b? ði?u khi?n vùng.

Ngoài ra, khi b?n c? g?ng sao lýu tr?ng thái h? th?ng trên các b? nhi?m b?nh máy tính, các thông báo l?i sau ðây có th? xu?t hi?n trong Nh?t k? ?ng d?ng trên các máy tính mà b?n ðang th?c hi?n sao lýu:Chuì yì Trong thông báo l?i này, ComputerName laÌ tên cõ b?n ð?u vào/ð?u ra h? th?ng (NetBIOS) m?ng c?a máy tính.

Chi ti?t k? thu?t

N?u máy tính ð? b? xâm ph?m, ph?n m?m ch?ng vi-rút có th? phát hi?n m? ð?c h?i nhý Backdoor.IRC.Flood và các bi?n th? c?a nó. Ð? bi?t thêm thông tin, liên h? v?i ð?i l? ch?ng vi-rút c?a b?n.

Trong trý?ng h?p ðó Microsoft ð? phân tích, các máy ch? b? xâm ph?m ð? ðý?c t?m th?y có các t?p tin sau ðây và chýõng tr?nh. S? hi?n di?n c?a nh?ng t?p tin này ch? ra r?ng các h? th?ng ð? b? xâm ph?m. N?u các t?p ho?c chýõng tr?nh ðang ðý?c t?m th?y trên c?a b?n máy tính, và n?u h? không ðý?c cài ð?t b?i b?n ho?c v?i ki?n th?c c?a b?n, ch?y m?t quét vi rút hoàn ch?nh v?i m?t virus up-to-date quét chýõng tr?nh.

Chuì yì Ðý?ng d?n ð?n các t?p tin không ðý?c li?t kê b?i v? h? có th? khác nhau.

• GG.bat: Gg.bat c? g?ng k?t n?i v?i các máy ch? khác nhý qu?n tr? viên, qu?n tr? ho?c ngý?i ch?, s? cho Flashfxp và các chýõng tr?nh Ws_ftp ngày h? ph?c v?, sao chép nhi?u t?p tin (bao g?m c? Ocxdll.exe) ð?n máy ch?, và sau ðó s? d?ng chýõng tr?nh Psexec ð? th?c thi l?nh trên máy ch? t? xa.
• Seced.bat: Seced.bat thay ð?i an ninh chính sách.
• Nt32.ini
• Ocxdll.exe
• Gates.txt
• Task32.exe

Trong trý?ng h?p khác, các chýõng tr?nh h?p pháp ð? ðý?c cài ð?t b?i các k? t?n công ð? h? tr? trong các th?a hi?p. N?u các chýõng tr?nh này ðý?c t?m th?y trên c?a b?n h? th?ng, và n?u b?n không cài ð?t chúng, nó có th? cho th?y m?t s? th?a hi?p, và b?n nên ði?u tra thêm.

• Psexec
• Ws_ftp
• FlashFXP

M?t t?p cu?i cùng c?a t?p tin có liên quan ð?n các cu?c t?n công m?t c?p t?p h? th?ng h?p pháp thý?ng ðý?c cài ð?t trên h? th?ng, nhýng trojanized Phiên b?n ðó ðý?c cài ð?t nhý m?t ph?n c?a cu?c t?n công. H?u h?t các s?n ph?m nhà cung c?p ch?ng vi-rút, khi chúng ðý?c s? d?ng k?t h?p v?i hi?n hành vi rút ch? k?, s? phát hi?n b?n trojanized c?a nh?ng t?p tin này n?u h? ðang có hi?n nay.

• MDM.exe
• Taskmngr.exe

T?n công vectõ

Phân tích ð?n nay ch? ra r?ng nh?ng k? t?n công xu?t hi?n ð? có ð? ð?t ðý?c m?c nh?p vào h? th?ng b?ng cách s? d?ng m?t kh?u qu?n tr? viên y?u ho?c tr?ng. Microsoft không có b?ng ch?ng cho th?y r?ng b?t k? an ninh trý?c ðây không r? l? h?ng ð? ðý?c s? d?ng trong các cu?c t?n công.

Công tác ph?ng ch?ng

Microsoft khuy?n cáo r?ng khách hàng b?o v? các máy ch? c?a h? ch?ng l?i Ði?u này và các cu?c t?n công b?ng cách ð?m b?o r?ng h? th?c hi?n theo tiêu chu?n b?o m?t t?t nh?t ««th?c hành, ch?ng h?n nhý:

• Lo?i b? tr?ng ho?c y?u qu?n tr? m?t kh?u.
• Vi?c t?t trýõng m?c khách.
• Ch?y ph?n m?m ch?ng vi-rút hi?n t?i v?i up-to-virus ð?nh ngh?a ch? k?.
• B?ng cách s? d?ng tý?ng l?a b?o v? máy ch? n?i b?, trong ðó có b? ði?u khi?n vùng.
• ? l?i ð?n nay trên t?t c? các b?n vá l?i b?o m?t.

Hý?ng d?n v? cách th?c t?t nh?t ð? prescriptively c?u h?nh Microsoft Windows 2000 d?a trên máy ch?, h?y xem hý?ng d?n các ho?t ð?ng an ninh cho Windows 2000 Server. Ð? xem hý?ng d?n này, ghé thãm Web site sau c?a Microsoft: Ð? bi?t thêm thông tin v? làm th? nào ð? gi? Windows 2000 Server ð?p vá và an toàn, ghé thãm Web site sau c?a Microsoft: Ngoài ra, b?n có th? s? d?ng ðý?ng cõ s? an ninh Microsoft Phân tích. Ð? bi?t thêm thông tin v? phân tích ðý?ng cõ s? b?o m?t c?a Microsoft, ghé thãm Web site sau c?a Microsoft:

Phát hi?n

Ð?n nay, các h? th?ng duy nh?t ðý?c báo cáo ð? b? ?nh hý?ng b?i ði?u này cu?c t?n công ð? là h? th?ng ðang ch?y Microsoft Windows 2000 Server. Microsoft khuy?n cáo khách hàng quét Windows 2000 Server c?a h? d?a trên môi trý?ng ð? xác ð?nh xem các t?p tin ðó ðý?c li?t kê trong "k? thu?t Chi ti?t"ph?n c?a bài vi?t này t?n t?i. B?i v? m?t s? t?p có th? ð? cách h?p pháp ðý?c cài ð?t, khách hàng nên ði?u tra chúng ð? xác ð?nh c?a h? vi?c s? d?ng và m?c ðích.

Ph?c h?i

Ð? giúp ð? v?i thu h?i, liên h? v?i h? tr? s?n ph?m c?a Microsoft D?ch v? b?ng cách s? d?ng phýõng pháp ýa thích c?a b?n. Ð? bi?t thêm thông tin v? phýõng pháp ð? liên h? v?i d?ch v? h? tr? c?a Microsoft s?n ph?m, truy c?p vào trang Web Microsoft sau ðây Trang web:

Quan tr?ng Ph?n, phýõng pháp ho?c nhi?m v? này ch?a các bý?c cho b?n bi?t làm th? nào ð? s?a ð?i registry. Tuy nhiên, v?n ð? nghiêm tr?ng có th? x?y ra n?u b?n s?a ð?i registry không chính xác. V? v?y, h?y ch?c ch?n r?ng b?n làm theo các bý?c sau m?t cách c?n th?n. Ð? b?o v? ðý?c thêm vào, sao lýu s? ðãng k? trý?c khi b?n s?a ð?i nó. Sau ðó, b?n có th? khôi ph?c s? ðãng k? n?u m?t v?n ð? x?y ra. Ð? bi?t thêm chi ti?t v? làm th? nào ð? sao lýu và khôi ph?c s? ðãng k?, h?y nh?p vào s? bài vi?t sau ðây ð? xem bài vi?t trong cõ s? ki?n th?c Microsoft:

Ð? làm vi?c xung quanh v?n ð? này, b?n ph?i ð?i tên c? th? t?p tin và sau ðó s?a ð?i s? ðãng k?. Ð? th?c hi?n vi?c này, h?y làm theo các bý?c.

Chuì yì Các bý?c sau ðây là ch? là m?t gi?i pháp t?m th?i. Các bý?c sau ch? lo?i b? nh?ng ?nh hý?ng c?a s? lây nhi?m ban ð?u. Các bý?c này không lo?i b? b?t k? b? sung virus máy tính thu ðý?c sau khi máy tính ð?u tiên b? nhi?m b?nh. Chúng tôi ð? ngh? r?ng b?n khôi ph?c l?i h? ði?u hành b?ng cách s? d?ng xác minh phýõng ti?n sao lýu t? m?t quan ði?m ðý?c bi?t ð?n, trý?c khi máy tính ð? b? nhi?m. B?n có th? c?ng ð?nh d?ng ? ð?a c?ng, cài ð?t l?i h? ði?u hành, và sau ðó Khôi ph?c d? li?u b? m?t b?ng cách s? d?ng xác minh phýõng ti?n sao lýu t? m?t t?t ðý?c bi?t ð?n ði?m.

1. Trên Windows 2000 d?a trên máy tính, b?m chu?t ph?i vào các thanh tác v?, và sau ðó nh?p vào Qu?n l? tác v?.
2. Trong Task Manager, ch?n Taskmngr.exe, và sau ðó b?m K?t thúc.
   
   Chuì yì H?y ch?c ch?n r?ng b?n ch?n Taskmngr.exe và không ph?iTaskmgr.exe
3. Ðóng Task Manager.
4. B?ng cách s? d?ng Microsoft Windows Explorer, xác ð?nh v? trí các \WINNT\System32 thý m?c. Ð?i tên các t?p tin sau ðây ðý?c ch?a trong các \WINNT\System32 thý m?c b?ng cách g? .Bak ? ph?n cu?i c?a các tên t?p.
   
   Chuì yì M?t s? trong nh?ng t?p tin này có th? không ðý?c ch?a trong \WINNT\System32 thý m?c.
   • Nt32.ini
   • Nt16.ini
   • Dll32nt.HLP
   • Xvpll.HLP
   • Dll32.HLP
   • Httpsearch.ini
   • MDM.scr
   • Gates.txt
   • Taskmngr.exe
   • Secedit.sdb
   • Seced.bat
   • Ocx.dll
   • Dll16.ini
   • GG.bat
   • Ocxdll.exe
   Chuì yì Ð? ð?i tên các t?p tin này, h?y làm theo các bý?c sau:
   1. Nh?p chu?t ph?i trong thý m?c \WINNT\System32, vào b?t c? các t?p trong danh sách, b?m Ð?i tên, lo?i .Bak ? ph?n cu?i c?a tên t?p, và sau ðó nh?n Nh?p.
      
      Ví d?, b?n có th? ð?i tên Nt32.ini ð? Nt32.ini.Bak.
   2. L?p l?i bý?c m?t cho m?i t?p tin trong này danh sách.
5. Nh?p vào B?t ð?u, b?m Ch?y, lo?i regedit, sau ðó b?mOk.
6. Trong Registry Editor, ðiònh viò khoaì con ðãng kyì sau:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
7. Click vào giá tr? Rundll32 tham chi?u Taskmngr.exe dý?i the following registry subkey, và sau ðó nh?p vào Xóa b?:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
8. N?u b?n có b? ki?m soát mi?n Windows 2000 có nhi?m vi rút MIRC Trojan, s? d?ng Windows Explorer ð? xác ð?nh v? trí các GmpTpl.inf t?p tin n?m trong thý m?c sau ðây trên Windows 2000 ði?u khi?n vùng:
   \WINNT\SYSVOL\sysvol\DomainName\Policies\ {}GUID} \MACHINE\Microsoft\Windows NT\SecEdit
   Chuì yì Trong tên c?p này, DomainName là các tên mi?n Windows 2000.
9. So sánh các t?p tin GmpTpl.inf vào m?t b?n sao t?t ðý?c bi?t ð?n c?a các GmpTpl.inf t?p tin. B?n có th? khôi ph?c l?i m?t b?n sao t?t ðý?c bi?t ð?n c?a các t?p tin GmpTpl.inf b?i b?ng cách s? d?ng ki?m ch?ng phýõng ti?n sao lýu t? m?t ði?m t?t ðý?c bi?t ð?n hay b?ng cách s? d?ng m?t Windows nãm 2000 b? ði?u khi?n vùng.
   
   Chuì yì Vi rút MIRC Trojan có th? thay ð?i ho?c thêm SeNetworkLogonRight giá tr? ðý?c ch?a trong t?p tin GmpTpl.inf.

Sau khi hoàn t?t các bý?c này, chúng tôi ð? ngh? b?n s? d?ng ph?n m?m ch?ng vi-rút có các ð?nh ngh?a virus m?i nh?t ð? phát hi?n và lo?i b? vi rút MIRC Trojan. Sau ðó, ð?nh d?ng và sau ðó cài ð?t l?i h? ph?c v? ngay sau khi nó là thu?n ti?n cho b?n. Chúng tôi khuyên b?n nên hành ð?ng này b?i v? các máy ch? ð? b? t?n h?i.