木馬程序
Trojan.Win32.Cosmu.vun
捕獲時間
2010-4-1
危害等級
中
病毒癥狀
該樣本是使用“Delphi”編寫的游戲盜號木馬，由微點主動防御軟件自動捕獲長度為“53248”字節，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的是下載安裝病毒木馬、控制用戶機器。
用戶中毒后會出現網絡速度降低，系統運行緩慢，出現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬“，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan.Win32.Cosmu.vun”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、刪除以下文件
%SystemRoot%\system32\wins\office.exe
%SystemRoot%\system32\startup\IEXPL0RE.EXE
%SystemRoot%\system32\tracert.dll
2、手動恢復以下注冊表鍵值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
名稱：Common Startup
數據：C:\WINDOWS\system32\startup
修改為“C:\Documents and Settings\All Users\「開始」菜單\程序\啟動”
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
名稱：Common Startup
數據：C:\WINDOWS\system32\startup
修改為“%ALLUSERSPROFILE%\「開始」菜單\程序\啟動”
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
(1) 檢查病毒安裝目錄文件以及注冊表信息是否完整，如果被破壞則釋放文件%SystemRoot%\system32\startup\IEXPL0RE.EXE
和%SystemRoot%\system32\wins\office.exe,并創建文件%SystemRoot%\system32\tracert.dll以記錄信息
(2) 修改注冊表相關項以實現自啟動
(3) 啟動office.exe以及iexplore.exe實現相互監視。提升自身權限，獲取用戶網卡等信息，打開網絡連接到指定地址，聽取命令，并下載病毒木馬運行。
病毒創建文件：
%SystemRoot%\system32\wins\office.exe
%SystemRoot%\system32\startup\IEXPL0RE.EXE
%SystemRoot%\system32\tracert.dll
病毒修改注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
名稱：Common Startup
原數據：C:\Documents and Settings\All Users\「開始」菜單\程序\啟動
新數據：C:\WINDOWS\system32\startup
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
名稱：Common Startup
原數據：%ALLUSERSPROFILE%\「開始」菜單\程序\啟動
新數據：C:\WINDOWS\system32\startup
病毒訪問網絡：
http://like.**beautifulgirls.com
http://like.win**update.com
http://like.office**anupdate.com
