第一个Windows移动操作系统的木马出现

韩冰

近日，CNCERT/CC注意到第一个利用Windows移动操作系统的木马出现，国际上称之为Backdoor.Brador.A。该木马运行于Windows Mobile 2003上，并只会感染采用ARM处理器的设备。Windows Mobile 2003也被叫做Pocket PC 2003或Windows CE 4.2。这个木马会在系统中开启后门，将被感染的掌上电脑或智能手机的IP地址发送给攻击者，并打开TCP的2989端口。 ) y% N8 d( L* ^" p　 分析： 8 Y3 H% R% u& D 　　当Backdoor.Brador.A木马运行时，它执行以下的操作： / s: V" E5 ?2 T　　1. 复制自身到Windows/StartUp/Svchost.exe (5632 bytes)，当系统启动时木马也就启动了。 4 i' |& g1 z+ R　　2. 不断地试图用电子邮件发送被感染设备的IP地址给攻击者，直到成功为止。 0 Q% s; N7 |0 o" [7 u$ {　　3. 将TCP的2989端口打开并等待攻击者的指令。 6 a! Q6 p% B/ X# S$ n! [　　4. 允许攻击者远程执行以下命令： , k+ r# m7 Q' d# o: o　　　　* 列出目录内容； 　　　　* 上传一个文件； $ j1 ?& n2 N/ R: z8 `$ W# S1 \　　　　* 显示消息框； 　　　　* 下载一个文件； 0 ]9 X# H; y1 m# B+ B　　　　* 执行指定指令。 # Q( |8 D$ @- C3 j# {0 t, @　　　 受影响的平台： 　　Windows CE 解决方案： 4 K8 F1 q7 ]; S& A; Z　　赛门铁克已经为此发布了解决方案： 　　1. 更新病毒库； ) N; D8 J( _# c3 L. A( _　　2. 对系统进行一次完整的扫描，将所有被Backdoor.Brador.A木马感染的文件删除。 2 c5 I* B/ K$ a6 a) z/ v4 c! J" U参考信息： 2 Z# K5 l+ {7 P3 h* ehttp://securityresponse.symantec.com/avcenter/venc/data/backdoor.brador.a.html