|
本节介绍目前最为常见木马病毒的攻击方式与危害。
(1)冰河木马。
攻击方式：冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接
端口为7626
危害：程序就会在C：\Windows\system目录下生成Kernel32.exe和sysexplr.exe，并删除
自身。Kernel32.exe在系统启动时自动加载运行，sysexplr.exe和TXT文件关联。即使删除了
Kernel32．exe，但只要打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe
(2)广外女生。
攻击方式：广外女生是一种新出现的远程监控工具，破坏性很大，能够通过远程登录，
进行上传、下载、删除文件以及修改注册表等操作。
危害：广外女生服务端被执行后，会自动检查进程中是否含有“金山毒霸”、“防火墙”
等软件，如果发现就将该进程终止，也就是说使防火墙完全失去作用。该木马程序运行后，
将会在系统的SYSTEM目录下生成一份自己的拷贝，名称为DIAGCFG.EXE，并关联.EXE
文件的打开方式，如果贸然删掉了该文件，将会导致系统所有.EXE文件无法打开的问题
(3)Netspy(网络精灵)。
攻击方式：Netspy又名网络精灵，是国产木马，最新版本为3.0，默认连接端口为7306。
危害：服务端程序被执行后，会在C：\Windows\system目录下生成netspy.exe文件。同时
在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Run\下建立
键值C：\windows\system\netspy.exe，用于在系统启动时自动加载运行。
(4)黑洞2001。
攻击方式：黑洞2001是国产木马程序，默认连接端口2001
危害：服务端被执行后，会在C：\windows\system下生成S_Server.exe文件(是服务端的
直接复制，用的是文件夹图标；另一个是windows.exe，文件大小为255 488字节，用的是未
定义类型的图标。
黑洞2001是典型的文件关联木马，windows.exe文件用来机器开机时立刻运行，并打开
默认连接端口2001，S_Server.exe文件用来和TXT文件打开方式连起来。当中木马者发现自
己中了木马而在DOS下把windows.exe文件删除后，服务端就暂时被关闭，即木马暂时删除，
当任何文本文件被运行时，隐蔽的S_Server.exe木马文件就又被激活了，于是重新生成
windows.exe文件，木马程序再次被激活。
(5)WAY2.4(火凤凰、无赖小子)。
攻击方式：WAY2.4．又称火凤凰、无赖小子，是国产木马程序，默认连接端口是8011
危害：WAY2.4服务端被运行后在C：\windows\system目录下生成msgsvc.exe文件，采用
文本文件的图标，文件大小235 008字节，文件修改时间1998年5月30日，看来它想冒充
系统文件msgsvc32.exe。
(6)初恋情人(Sweet Heart)。
攻击方式：初恋情人是国产木马，又名Sweet Heart，默认连接端口是8311。
危害：自启动程序为C：\WINDOWS\TEMP\Aboutagirl.EXE，与TXT关联文件
C：\windows\system\girl.exe。它的用户比较多，但此程序故意将服务端和客户端名字搞反了，
在压缩包内的文件gf_cilent．exe不是用户端而是服务端，gf_server.exe不是服务端而是用户端。
(7)网络神偷(Nethief)。
攻击方式：网络神偷又名Nethief，是第1个反弹端口型木马。
危害：反弹端口型木马的服务端使用主动端口，客户端使用被动端口，当要建立连接时，
由客户端通过FTP主页空间告诉服务端“现在开始连接我吧”，并进入监听状态，服务端收
到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即
使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP服务端的伊地址：1026，
客户端的IP地址：80ESTABLISHED”的情况，稍微疏忽一点就会以为是自己在浏览网页。
(8)网络公牛(Netbull)。
攻击方式：网络公牛又名Netbull，是国产木马，默认连接端口234444，最新版本V1.1。
危害：服务端程序newserver．exe运行后，会自动脱壳成checkdll.exe，位于
C：\windows\system下，下次开机checkdll．exe将自动运行，因此很隐蔽、危害很大，服务端
运行后还会捆绑在开机时自动运行的第3方软件(如realplay.exe、QQ、ICQ等)上。
(9)聪明基因。
攻击方式：聪明基因也是国产木马，默认连接端口7511。
危害：聪明基因是文件关联木马，服务端运行后会生成3个文件，分别是
C：\windows\MBBManager.exe和Explore32.exe以及C：\windows\system\editor.exe，这3个文件
用的都是HTM文件图标
|
