瑞星“超級火焰”病毒（Worm.Win32.Flame）技術(shù)分析報(bào)告
2012-06-05 13:28:33摘要：Worm.Win32.Flame又稱“超級火焰”病毒，是瑞星最新捕獲到的一種新型電腦蠕蟲病毒。該病毒結(jié)構(gòu)復(fù)雜，破壞力強(qiáng)，比以前發(fā)現(xiàn)的Worm.Win32.Stuxnet（超級工廠）和Trojan.Win32.Duqu（毒趣）有過之而無不及。
2.4模塊詳細(xì)分析
1.MSSECMGR.OCX模塊
MSSECMGR.OCX是主模塊，該模塊會(huì)被注入到不同的進(jìn)程中（services.exe，explorer.exe等），該模塊的主要功能有：
1.?控制整個(gè)病毒的運(yùn)行流程
2.?解密釋放出其他各功能模塊
3.?遠(yuǎn)程注入功能的實(shí)現(xiàn)，詳細(xì)分析見技術(shù)細(xì)節(jié)
4.?開啟HTTP服務(wù)，處理HTTP請求。使用Windows提供的HTTP Server系列函數(shù)完成HTTP服務(wù)功能
5.?打開錄音等設(shè)備，后臺錄音
6.?連接網(wǎng)絡(luò)服務(wù)器，下載和更新
7.? 藍(lán)牙設(shè)備的收集
通過調(diào)用bthprops.cpl導(dǎo)出的一下函數(shù)進(jìn)行藍(lán)牙設(shè)備的搜索和可連接性判斷：
BluetoothFindFirstRadio
BluetoothFindRadioClose
BluetoothIsConnectable
BluetoothIsDiscoverable
BluetoothFindDeviceClose
BluetoothFindFirstDevice
BluetoothFindNextDevice
8.?自身的傳播
該蠕蟲接收命令后會(huì)通過局域網(wǎng)共享、移動(dòng)介質(zhì)和系統(tǒng)漏洞進(jìn)行傳播。目前可以確定的是利用了MS10-061漏洞，提醒用戶安裝相應(yīng)補(bǔ)丁。
[責(zé)任編輯：楊勇]
