木馬下載器
Trojan-Downloader.Win32.Geral.a
捕獲時間
2010-4-8
危害等級
中
病毒癥狀
該樣本是使用“VC /C”編寫的“下載者”，由微點主動防御軟件自動捕獲，長度為“83,968”字節，圖標為“
”，使用“exe”擴展名，通過移動介質、文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是下載安裝病毒木馬。
用戶中毒后會出現本地磁盤無法雙擊打開，殺軟件無故退出，系統運行緩慢，出現大量未知進程，系統無故報錯等現象
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳染途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬“，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Geral.a”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除以下文件
%SystemRoot% \system32\scvhost.exe
%SystemRoot%\extext757687t.exe
SystemRoot%\tete757687t.dll
X:\recycle\rav32.exe
X:\autorun.inf (X為被感染盤符)
2.手動刪除以下注冊表
HKEY_LOCAL_MACHINE、SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：RsTray
數據：C:\WINDOWS\system32\scvhost.exe
刪除在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
下的大量安全軟件劫持項c
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.通過命令行關閉以下進程ekrn.exe、egui.exe。停止以下服務wscsvc，SharedAccess。
2.%SystemRoot%目錄下釋放tete757687t.dll并通過rundll32.exe加載運行。
釋放%SystemRoot%\extext757687t.exe并運行。
釋放驅動文件aec.sys和AsyncMac.sys
查找大量安全軟件進程關閉并結束其服務，
并在注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
項下建立以下程序的劫持項。
Avp，safeboxTray，360Safebox，360tray，Antiarp，ekrn，RsAgent，Mfeann，egui，RavMon，RavMonD，RavTask，Ccenter，RavStub，RsTray，ScanFrm，Rav，AgentSvr，Ccenter，QQDoctor，McProxy，Mcshield，rsnetsvr，naPrdMgr，MpfSrv，MPSVC，MPSVC1，KISSvc，KPfwSvc，Kmailmon，KavStart，Engineserver，KPFW32，KVSrvXP，ccSetMgr，ccEvtMgr，defwatch，rtvscan，ccapp，vptray，mcupdmgr，mfevtps，mcsysmon，mcmscsvc，mcnasvc，mcagent，vstskmgr，FrameworkService，Mcshell，mcinsupd，bdagent，livesrv，vsserv，xcommsvr，ccSvcHst，SHSTAT，McTray，Udaterui，KAVStart，Uplive，Kwatch，QQDoctorRtp，DrUpdate，Rfwsrv，RegGuide，MPSVC2，MPMon，LiveUpdate360，Rssafety，egui，KSWebShield，360delays，KwatchSvc。
并獲取SSDT地址傳入驅動恢復SSDT。成功后刪除驅動文件。
3.將自身復制到%SystemRoot% \system32\scvhost.exe
創建注冊表項HKEY_LOCAL_MACHINE、SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ RsTray實現自啟動
4. 釋放驅動文件%SystemRoot%\system32\drivers\pcidump.sys并創建名為“puidump”的服務加載驅動文件,注入userinit.exe。成功后刪除驅動
5.創建線程循環查找本地磁盤，并將自身復制到
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\rav32.exe (X為任意盤符)
并在該目錄下創建“safe..”目錄使用戶無法刪除
在根目錄下新建autorun.inf文件，利用自動播放功能運行病毒。
6.從指定網址讀取包含木馬下載地址的文件下載大量病毒木馬運行。
7.創建批處理刪除病毒源文件及批處理自身。
病毒創建文件：
%SystemRoot% \system32\scvhost.exe
%SystemRoot%\extext757687t.exe
SystemRoot%\tete757687t.dll
%SystemRoot%\system32\drivers\pcidump.sys
X:\recycle\rav32.exe
X:\autorun.inf
病毒創建注冊表:
HKEY_LOCAL_MACHINE、SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：RsTray
數據：C:\WINDOWS\system32\scvhost.exe
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下建立大量安全軟件劫持項
病毒訪問網絡:
http://jddfasqb.77fa***.org/ddd.txt
http://jdqb.7***.org:53/down.txt
http://jddfasqb.77fa***.org/asp.txt
