簡介
別名
Backdoor.Blizzard, Backdoor.Fxdoor, Backdoor.Snowdoor [KAV], Backdoor:Win32/Snowdoor.A [RAV
類型
Trojan Horse
受感染的系統
Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
防護
*病毒定義（每周 LiveUpdate™） 2003 年 2 月 20 日
* 病毒定義（智慧型更新程式） 2003 年 2 月 20 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： 0 - 49
* 站點數量： 0 - 2
* 地理位置分布： Low
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Medium
* 危及安全設定： Allows unauthorized access to an infected computer.
分發
* 分發級別： Low
* 連線埠： 5328 (by default; other ports are possible)
當 Backdoor.Snowdoor 運行時，它會執刑以下操作：
1. 將本身複製成：
* %System%\Swon6.exe
* %Windir%\sk.exe
注意：
o 此處的 %windir% 是變數，木馬程式會自行找到 Windows 安裝資料夾（默認位置為 C:\Windows 或 C:\Winnt) 並將自己複製到其中。
o %System% 代表變數。 木馬程式會找到 System 資料夾並將自己複製進去。默認位置是 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。
2. 新增下列值：
Snow %System%\swon6.exe
加入註冊鍵：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
因此，當啟動 Windows 時，木馬程式都會執行。
3. 在 Windows 95/98/Me 計算機上，將
run= line of the Win.ini
修改為
run=%Windir%\sk.exe
因此，當啟動 Windows 時，木馬程式都會執行。
4. 加入一個註冊鍵以建立 C 磁碟共享：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Network\LanMan\C$
5. 在 5326 或 5328 埠上監聽進來的連線，並允許遠端的駭客在您的計算機上活動。
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
這些指示適用於目前市面上所見的最新賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 產品系列。
1. 更新病毒定義。
2. 執行完整的系統掃描，刪除所有偵測到的 Backdoor.Snowdoor 檔案。
3. 撤消對註冊表所做的更改。
4. 刪除加入到檔案 Win.ini 中的內容（僅適用於 Windows 95/98/Me）。
有關每個步驟的詳細信息，請閱讀以下指導。
1. 更新病毒定義
Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。 可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate，這是獲得病毒定義最簡便的方法。如果未出現重大的病毒爆發情況，這些病毒定義會在 LiveUpdate 伺服器上每周發布一次（一般為星期三）。 要確定是否可以通過 LiveUpdate 獲得解決該威脅的病毒定義，請見本說明頂部“防護”部分的病毒定義 (LiveUpdate) 部分。
* 使用“智慧型更新程式”下載病毒定義。 “智慧型更新程式”病毒定義會在美國工作日（周一至周五）發布。 您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。 要確定是否可以通過“智慧型更新程式”獲得解決該威脅的病毒定義，請見本說明頂部的病毒定義（智慧型更新程式）部分。
智慧型更新程式病毒定義可從這裡獲得。若要了解如何從賽門鐵克安全回響中心下載和安裝智慧型更新程式病毒定義，請單擊這裡。
2. 掃描和刪除受感染檔案
1. 啟動 Symantec防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
*賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果有任何檔案被檢測為感染了Backdoor.Snowdoor，請單擊“刪除”。
3. 撤消蠕蟲對註冊表所做的更改
警告： Symantec 強烈建議在更改註冊表之前先進行備份。 錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。 應只修改指定的鍵。 有關指導請參閱文檔：如何備份 Windows 註冊表。
1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
2. 鍵入
regedit
然後單擊“確認”。 （註冊表編輯器打開。）
3. 瀏覽到註冊鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除值：Snow
5. 如果找到下列註冊鍵請予以刪除：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Network\LanMan\C$
6. 退出註冊表編輯器。
4. 刪除加入到檔案 Win.ini 中的內容（僅適用於 Windows 95/98/Me）
如果使用的是 Windows 95/98/Me，請執行下列操作：
1. 操作取決於你的作業系統：
* Windows 95/98： 請跳至步驟 b。
* Windows Me： 如果你運行 Windows Me， Windows Me 檔案保護程式可能已經為 Win.ini 創建了一個備份。如果該備份存在，它會位於 C:\Windows\Recent folder.賽門鐵克建議在繼續下一部分中的操作之前刪除此檔案。 請執行下列操作：
o 啟動 Windows資源管理器。
o 瀏覽並選中資料夾C:\Windows\Recent。
o 在右窗格中，選中 Win.ini file 後將其刪除。Win.ini 會在步驟 f 你保存對其的改動時重新產生。
2. 單擊“開始”，然後單擊“運行”。
3. 鍵入以下內容，然後單擊“確定”：
edit c:\windows\win.ini
（MS-DOS編輯器打開。）
注意： 如果 Windows 安裝在其它位置，請用相應的路徑代替。
4. 在檔案的 [windows] 部分，查找與下列顯示相似的項：
run=%Windir%\sk.exe
5. 如果該行存在，選中文本。 確認你沒有選擇檔案中其它內容後，按 Delete。
6. 單擊“檔案”，然後單擊“保存”。
7. 單擊“檔案”，然後單擊“退出”。
