第一个Windows移动操作系统的木马出现

韩冰

近日，CNCERT/CC注意到第一个利用Windows移动操作系统的木马出现，国际上称之为Backdoor.Brador.A。该木马运行于Windows Mobile 2003上，并只会感染采用ARM处理器的设备。Windows Mobile 2003也被叫做Pocket PC 2003或Windows CE 4.2。这个木马会在系统中开启后门，将被感染的掌上电脑或智能手机的IP地址发送给攻击者，并打开TCP的2989端口。 9 C" r3 E" a6 i7 B! H' ?7 Q5 p3 h: H　 1 r3 a* M/ A2 q$ u, @分析： * R, s6 p9 H9 u* c( m　　当Backdoor.Brador.A木马运行时，它执行以下的操作： 　　1. 复制自身到Windows/StartUp/Svchost.exe (5632 bytes)，当系统启动时木马也就启动了。 # H' l; x5 h4 p. Z, d4 _　　2. 不断地试图用电子邮件发送被感染设备的IP地址给攻击者，直到成功为止。 　　3. 将TCP的2989端口打开并等待攻击者的指令。 ! g5 V; P! J' Y+ t4 l　　4. 允许攻击者远程执行以下命令： 1 U, a. V3 [% N' n( p% S# z　　　　* 列出目录内容； 　　　　* 上传一个文件； 　　　　* 显示消息框； 2 G( J3 r5 M% Z　　　　* 下载一个文件； 　　　　* 执行指定指令。 ) }' Q2 T9 V0 ^8 I% |; _　　　 受影响的平台： : Y2 s& X# ?4 w- H; C$ z : l0 c0 u+ q* y6 J: y　　Windows CE 解决方案： 7 u# y: G, H6 m; r& H2 N; x 　　赛门铁克已经为此发布了解决方案： 　　1. 更新病毒库； 7 l* |* M+ f7 I; n) Q5 S　　2. 对系统进行一次完整的扫描，将所有被Backdoor.Brador.A木马感染的文件删除。 ; v# {: ?. _. A: N8 f % N+ c0 z9 _$ |+ q参考信息： http://securityresponse.symantec.com/avcenter/venc/data/backdoor.brador.a.html