木馬下載者
Trojan-Downloader.Win32.Generic.cjn
捕獲時間
2013-01-08
危害等級
中
病毒癥狀
該樣本是使用“C\C ”編寫的“木馬下載者”，由微點主動防御軟件自動捕獲,長度為“53,248”字節，圖標為
，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播，病毒主要目的是惡意修改用戶系統并下載更多的病毒或木馬后門文件運行。
用戶中毒后會出現電腦的運行速度變慢，殺軟無故退出而不能啟動，出現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現病毒，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Generic.cjn”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動停止并刪除服務"B8FFFFFF.temp"
2.手動刪除文件
"%Temp%\B8FFFFFF.temp"
"%Temp%\49FFFFFF.temp"
"%SystemRoot%\usp10.dll"
"%Temp%\f7b7.temp（文件名隨機）"
"%SystemRoot%\system32\Windowsxp.ini"
"所有exe文件目錄中的usp10.dll"
3.修改注冊表
"HKEY_LOCAL_MACHINE\system\\currentcontrolset\\control\\session manager\ExcludeFromKnownDlls"
"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ Hidden"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Folder\Hidden\Type"
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.創建進程快照，查找進程"V3LTray.exe"、"AYAgent.aye"、"nsavsvc.npc"、"V3SP.exe"，如果找到則創建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\B8FFFFFF.temp"，寫入病毒數據。創建名字為"B8FFFFFF.temp"的服務，執行映像指向C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\B8FFFFFF.temp"，并啟動此服務。與內核設備對象"\\.\20000000"通信，強制結束以上查找到的進程。
2.創建進程快照，查找并強制結束進程"Nsavsvc.npc"、"ALYac.aye"、"SystemMon.exe"、"SkyMon.exe"、"nsvmon.npc"、 "nvc.npc"、"nvcagent.npc"、"pcotp.exe"、"AYServiceNT.aye"、"AYAgent.aye"、"v3lsvc.exe"、 "sgsvc.exe"、"NSVMON.NPC"、"NaverAgent.exe"。
3.開辟新線程，解密網址"http://aaa.km**yr.com/110/jc928xx.txt"，下載該文件為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\49FFFFFF.temp"并以隱藏的方式執行。
4.獲取本地mac地址、操作系統版本等信息發送到網址"http://tj10**.h5gy.com/tj1012/post.asp"。并與遠程主機"aaa.km**yr.com"通信。
5.設置鍵值項
"HKEY_LOCAL_MACHINE\system\\currentcontrolset\\control\\session manager\ExcludeFromKnownDlls" = "usp10.dll"、
"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Hidden" = 2、
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Folder\Hidden\Type" = 0
不顯示屬性為隱藏的文件。
6.將文件"C:\WINDOWS\usp10.dll"移動重命名為"C:\WINDOWS\2BFFFFFF"，刪除文件"C:\WINDOWS\2BFFFFFF"。重新創建文件"C:\WINDOWS\usp10.dll"，寫入病毒數據。
7.開辟新線程，遍歷所有磁盤，查找所有可執行文件，并將"C:\WINDOWS\usp10.dll"拷貝到同目錄下并設置文件屬性為隱藏。
8.以隱藏的方式執行shell命令："C:\WINDOWS\system32\cmd.exe /c del "病毒主程序""，將病毒主程序刪除。
9.病毒文件"C:\WINDOWS\usp10.dll"加載之后：
解密網址"http://ccc.b***drr.com/duqu/22.txt"，下載該文件為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\f7b7.temp（文件名隨機）"并以隱藏的方式執行，并向文件"C:\WINDOWS\system32\Windowsxp.ini"寫入記錄數據。
病毒創建文件：
"%Temp%\B8FFFFFF.temp"
"%Temp%\49FFFFFF.temp"
"%SystemRoot%\usp10.dll"
"%Temp%\f7b7.temp（文件名隨機）"
"%SystemRoot%\system32\Windowsxp.ini"
"所有exe文件目錄中的usp10.dll"
病毒修改注冊表：
"HKEY_LOCAL_MACHINE\system\\currentcontrolset\\control\\session manager\ExcludeFromKnownDlls"
"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ Advanced\Hidden"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Explorer\Advanced\Folder\Hidden\Type"
病毒訪問網絡：
"http://aaa.km**yr.com/110/jc928xx.txt"
"http://tj10**.h5gy.com/tj1012/post.asp"
"aaa.km**yr.com"
"http://ccc.b***drr.com/duqu/22.txt"
