beplay体育app下载/欧国联含金量高吗/辽宁篮球直播/福彩快乐8走势图一定牛

捕獲時間

2008-09-26

病毒摘要

該樣本是使用“Delphi”編寫的“木馬下載器”，由微點主動防御軟件自動捕獲，采用“KBYS”加殼方式試圖躲避特征碼掃描,加殼后長度為“46,080 字節”，圖標為使用“exe”擴展名，通過“網頁木馬”、“文件捆綁”等途徑植入用戶計算機，運行后下載其他木馬程序到本地執行。

感染對象

Windows 2000/Windows XP/Windows 2003

傳播途徑

網頁木馬、文件捆綁

安全提示

已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；

圖1 主動防御自動捕獲未知病毒（未升級）

 如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Trojan-Downloader.Win32.Delf.ook”，請直接選擇刪除（如圖2）。

圖2   升級后截獲已知病毒

　
   

對于未使用微點主動防御軟件的用戶，微點反病毒專家建議：
1、不要在不明站點下載非官方版本的軟件進行安裝，避免病毒通過捆綁的方式進入您的系統。
2、盡快將您的殺毒軟件特征庫升級到最新版本進行查殺，并開啟防火墻攔截網絡異常訪問，如依然有異常情況請注意及時與專業的安全軟件廠商聯系獲取技術支持。
3、開啟windows自動更新，及時打好漏洞補丁。

 
病毒分析

該樣本程序被執行后，遍歷進程查找“avp.exe”,如果此進程存在則修改系統時間，試圖使其監控暫時失效；拷貝自身分別到目錄%SystemRoot%\system32\下重命名為“megvsc.exe”以及目錄C:\Documents and Settings\All Users\「開始」菜單\程序\啟動\下重命名為“WinRayt.exe”；修改如下注冊表鍵值實現開機自啟動，后通過批處理執行自刪除。

“megvsc.exe”運行后，遍歷系統當前進程查找如下進程結束：

查找含有如下字符串的窗口，發送消息使其關閉：

修改注冊表映像劫持如下程序，使其啟動時自動啟動病毒：

修改如下注冊表鍵值是隱藏文件無法正常顯示：

從網站“http://www.dj52***14dj.com/”讀取下載列表“g2.txt”，并根據此列表下載木馬至本地運行。