趋势科技病毒通告-WORM_FLAMER.A,TROJ_FLAMER.CFG(火焰)病毒

心跳回忆

近期有报道指出一种窃取信息的病毒在中东以及一些国家被发现，该病毒名称为Flame(火焰，趋势检测名：WORM_FLAMER.A,TROJ_FLAMER.CFG)。Flame(火焰)利用了一系列的窃取信息的技术，并且它能够捕获感染电脑的屏幕截图，甚至还可以控制被感染电脑的麦克风录制音频，它是一种非常智能的病毒.Flame(火焰)病毒与2010年爆出的Stuxnet(震网病毒，该病毒以SCADA系统为攻击目标)相似，都具有特定的攻击范围和目标。

病毒名称：WORM_FLAMER.A

其它相关的检测名：TROJ_FLAMER.CFG

趋势科技将Flam（火焰）病毒检测为WORM_FLAMER.A，该病毒通过移动存储设备到达被感染电脑或由互联网下载而来。被该病毒感染的电脑会通过本地局域网感染网络内部的其他电脑。它会终止正在运行的安全相关进程，通过删除注册表键值使防病毒软件失效，获取被感染电脑的屏幕截图以及音频记录，传播自身，记录并报告自身的活动和运行情况。
另外，该病毒的相关配置文件被趋势科技检测为TROJ_FLAMER.CFG

技术细节：
该病毒会将其自身的复制释放到被感染电脑中：
•%System%\mssecmgr.ocx

运行后，该病毒会释放以下文件：
•%System%\boot32drv.sys - detected as TROJ_FLAMER.CFG
•%System%\ccalc32.sys - detected as TROJ_FLAMER.CFG
•%System%\advnetcfg.ocx - also detected as WORM_FLAMER.A
•%System%\msglu32.ocx - also detected as WORM_FLAMER.A
•%System%\nteps32.ocx - also detected as WORM_FLAMER.A
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr\dstrlog.dat
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr\lmcache.dat
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr\mscrypt.dat
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr\ntcache.dat
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr\rccache.dat
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr\ssitable
•%Windows%\Ef_trace.log

运行后，该病毒会创建以下文件夹：
•%Program Files%\Common Files\Microsoft Shared\MSSecurityMgr

该病毒会添加以下注册表项，达到自启动目的：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa Authentication
Packages = "{default entry + mssecmgr.ocx}"

关于该病毒的其他一些行为的细节请参考：
http://about-threats.trendmicro. ... ;name=WORM_FLAMER.A
http://about-threats.trendmicro. ... ame=TROJ_FLAMER.CFG

防护措施：
介于该病毒通过移动存储设备感染，以及通过局域网传播。请用户注意开启防病毒软件的设备控制功能，以及注意电脑用户账号密码以及共享文件夹访问权限的控制。

处理措施：
趋势科技最新中国区病毒码 9.152.60 已可检测该病毒目前发现的所有相关组件
未安装趋势产品客户也可以下载ATTK专杀工具查杀：
32位操作系统：
http://support.trendmicro.com.cn ... stomizedpackage.exe
64位操作系统：
http://support.trendmicro.com.cn ... mizedpackage_64.exe
手动删除方法请参考：
http://about-threats.trendmicro. ... ;name=WORM_FLAMER.A
http://about-threats.trendmicro. ... ame=TROJ_FLAMER.CFG

dkmzazdy

很详细。。

寒山竹语

这个真详细。

tshx2005

不错可以杀了

小樂

趨勢真給力阿

寒山竹语

小樂 发表于 2012-6-1 18:21
趨勢真給力阿

不出意外的话，三大和微软都通气了。。。所以都可以检测。

firethreat

既然三大都可以杀了，明星病毒已经没有什么威胁了。树大招风，此病毒寿终正寝。不知早已准备好的变种或者继任者是否放出？

carlcai

赛门铁克也很淡定，国内的杀软貌似很慌乱。呵呵。差距啊！