木馬下載者程序
Trojan-Downloader.Win32.Agent.bzj
捕獲時間
2010-2-8
危害等級
中
病毒癥狀
該樣本是使用“Visual C /C”編寫的“木馬下載者”，由微點主動防御軟件自動捕獲，采用“UPX”加殼方式試圖躲避特征碼掃描,加殼后長度為28,160字節，圖標為“
”， 使用“ exe”擴展名，通過網頁木馬、下載器下載、移動介質(如U盤)等方式進行傳播。
用戶中毒后，會出現機器運行緩慢、網絡速度降低、出現大量未知進程、安全軟件無故退出等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista
傳播途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Trojan-Downloader.Win32.Agent.bzj”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%Temp% \2835b8.tmp
2、手動刪除以下注冊表值：
HKEY_LOCK_MACHINE\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\egui.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\zx
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ccdc
3、用正常文件替換%SystemRoot%system32\userinit.exe
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1.病毒運行后，創建互斥體abdf，如果檢測到自己已運行，就退出。
2.嘗試打開wscsvc（windows安全中心）服務，成功就關閉wscsvc服務。
3.嘗試打開ekrn.exe服務，如果打開成功就停止其服務，并結束掉egui.exe和ekrn.exe進程。
4.遍歷查找進程smss.exe，vmacthlp.exe、kpfwsvc.exe、kwatch.exe、kaccore.exersmain.exe、rsnetsvr.exe、ccenter.exe、scanfrm.exe、ravmond.exeravtask.exe、rsmain.exe、rfwsrv.exe、ras.exe、kavstart.exe、kissvc.exe、kamilmon.exe、kpfw32.exe、kpfwsvc.exe、kwatch.exe、kaccore.exe，如果找到就通過釋放內存使進程退出。
5.創建線程釋放動態庫文件%temp%\~166a0c.t,查找進程360tray.exe、safeboxtray.exe和avp.exe，如果存在，就調用rundll32.exe加載~166a0c.t，然后刪除文件。
6.釋放%temp%\~2835b8.tmp并運行，設置自己為SeDebugPrivilege權限。
7.釋放驅動文件%temp%\~274c73.tmp,創建zx服務，修改userinit.exe文件，最后刪除驅動文件。
8.創建egui.exe映像劫持。
9.在動態庫文件%temp%\~166a0c.t中，釋放驅動文件~480cd8.t，創建ccdc服務，恢復SSDT，刪除驅動文件；查找并結束進360tray.exe、safeboxtray.exe；查找系統托盤，發現卡巴、asper就發送消息，模擬鼠標右鍵點擊；創建avp.exe的映像劫持。
10.在~2835b8.tmp中，比較自己是不是userinit.exe，如果是就運行explorer.exe；不是就創建線程，遍歷進程，如果QQ.exe存在，就訪問網絡，提交統計信息；如果cmd存在，就結束其進程；連接網絡下載病毒列表~9be05b.tmp，依據列表下載病毒文件，查找進程，如果沒有avp.exe就運行下載的文件，刪除病毒文件和下載列表，修改hosts文件。
病毒創建文件：
%Temp% \~166a0c.t
%Temp% \2835b8.tmp
%Temp% \~274c73.tmp
%Temp% \~480cd8.t
%Temp%\~9be05b.tmp
病毒刪除文件：
%Temp% \~166a0c.t
%Temp% \~274c73.tmp
%Temp% \~480cd8.t
%Temp%\~9be05b.tmp
病毒修改文件：
%SystemRoot%system32\userinit.exe
%SystemRoot%\system32\drivers\etc\hosts
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\zx
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ccdc
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options\[安全軟件]
病毒訪問網絡：
http://***.cn:8080/txt1/ok.txt
http://***.cn:8080/qqlist/getmac.asp
http://***t.cn:8080/mclist/getmac.asp
