诺顿:后门木马Backdoor.Rohimafo篡改网络路由设置

诺顿每周病毒播报 2010年4月21日

赛门铁克中国安全响应中心

病毒名称：Backdoor.Rohimafo

病毒类型：木马

受影响的操作系统： Windows 95/98/2000/Me/XP/Vista/NT, Windows Server 2003

病毒分析：

Backdoor.Rohimafo是赛门铁克安全响应中心近期发现的一个木马病毒。它会在受感染计算机中开启后门，并窃取用户机密信息发送到指定网站。

运行时，Backdoor.Rohimafo首先将自身复制到?globalrootsystemrootsystem32[RANDOM<file:///%3fglobalrootsystemrootsystem32%5bRANDOM> STRING].exe，并修改注册表以实现随Windows操作系统启动的目的。然后，该后门木马会打开计算机TCP端口15425，将被感染计算机作为代理服务器，连接到指定网站并从这些网站获取以下命令：下载和执行文件、添加网络路由设置、关闭进程。

该后门木马会关闭某些入侵检测系统及杀毒软件，同时关闭Windows系统还原功能，并将恶意代码注入到其他进程中。这些恶意代码会hook用户键盘操作，窃取用户机密信息（如键盘击键信息），然后将窃取的信息发送到指定地址。Backdoor.Rohimafo还会修改系统永久路由设置，添加路由地址，并将这些地址重定向到被感染的计算机。

诺顿安全专家建议：

1.  全新2010版诺顿安全软件独创的基于信誉评级的全球智能云防护，使用赛门铁克的全球安全智能网络，实时对来自互联网的应用程序进行判断，协助用户抵御最新威胁。

2.  诺顿安全软件的“智能双向防火墙”功能，能够阻止不明应用程序访问网络，令被窃取的用户信息无法传输。

3.  建议用户尽量不要访问可疑网站。

4.  没有安装安全软件的用户可以访问http://www.symantec.com.cn/trialware 下载诺顿360（3.0版）、诺顿网络安全特警2010或诺顿防病毒2010试用版对病毒进行查杀。

5.  使用诺顿2006版本及之后产品的现有用户，可以免费将产品升级至诺顿2010版本，升级网址http://www.symantec.com.cn/nuc。