第一个Windows移动操作系统的木马出现

韩冰

近日，CNCERT/CC注意到第一个利用Windows移动操作系统的木马出现，国际上称之为Backdoor.Brador.A。该木马运行于Windows Mobile 2003上，并只会感染采用ARM处理器的设备。Windows Mobile 2003也被叫做Pocket PC 2003或Windows CE 4.2。这个木马会在系统中开启后门，将被感染的掌上电脑或智能手机的IP地址发送给攻击者，并打开TCP的2989端口。 　 N; D T5 X; f1 \* l分析： . M/ Z) Y- A7 k) [- e) P　　当Backdoor.Brador.A木马运行时，它执行以下的操作： , |/ Z/ H6 ]' N& ]　　1. 复制自身到Windows/StartUp/Svchost.exe (5632 bytes)，当系统启动时木马也就启动了。 　　2. 不断地试图用电子邮件发送被感染设备的IP地址给攻击者，直到成功为止。 　　3. 将TCP的2989端口打开并等待攻击者的指令。 1 T: `8 Z" W, o& @& o9 f　　4. 允许攻击者远程执行以下命令： 7 F2 F- ~7 }: f9 Y& k　　　　* 列出目录内容； 　　　　* 上传一个文件； 　　　　* 显示消息框； 　　　　* 下载一个文件； % q$ }0 d" H) t6 v/ u9 e　　　　* 执行指定指令。 　　　 受影响的平台： 3 K7 x* Y& V, W1 g # }2 B2 t0 z! d) t) H1 w* h　　Windows CE " F# b W+ {- i+ t4 S% C/ E 解决方案： $ g2 T$ e: Y9 Y, F5 X - a+ W, O/ X; s! k9 V( D　　赛门铁克已经为此发布了解决方案： " c0 G" n; c( \9 l. d　　1. 更新病毒库； 　　2. 对系统进行一次完整的扫描，将所有被Backdoor.Brador.A木马感染的文件删除。 7 N' g0 T/ K! \7 v+ W参考信息： " z" w+ K7 B/ Z# W8 R http://securityresponse.symantec.com/avcenter/venc/data/backdoor.brador.a.html