木馬程序
Trojan.Win32.Agent.a
捕獲時間
2010-4-15
危害等級
中
病毒癥狀
該樣本是使用“VC /C”編寫的下載者類程序，由微點主動防御軟件自動捕獲，長度為“93，696”字節，圖標為“
”，使用“exe”擴展名，通過移動存儲介質、文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是感染用戶機器。
用戶中毒后會出現系統運行緩慢，U盤雙擊無法打開等現像。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳染途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜軟件“，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan.Win32.Agent.a”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除以下文件
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\soundmix.exe
%SystemRoot%\system32\dllcache\zipexr.dll
X:\autorun.inf
X:\RECYCLER\autorun.exe (X移動磁盤)
2.刪除以下注冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
數據：soundmix
值：C:\WINDOWS\system32\soundmix.exe
3.修改以下注冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
數據：默認
值：soundmix "%1" %*
將其值中的soundmix去掉
4．刪除以下文件
X:\autorun.inf
X:\RECYCLER\autorun.exe (X移動磁盤)
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.比較自身是否在系統目錄中運行，如果不是則將自身重復制%SystemRoot%目錄并重命名為soundmix.exe。并創建進程啟動soundmix.exe.
2.創建互斥體，提升自身權限，遍歷系統所有進程，查找Explorer.exe。找到后將自身代碼寫入到Explorer.exe，實現注入Eplorer.exe運行。
3.創建定時器分別監視%SystemRoot%\system32\drivers\etc\hosts文件是否與指定內容相同如果不同創建新的hosts文件覆蓋原文件。
4.定時操作注冊表如下項
新建注冊表項：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
數據：soundmix
值：C:\WINDOWS\system32\soundmix.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
數據：默認
值：soundmix "%1" %*
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
Folder\Hidden\SHOWALL
數據：CheckedValue
值：0
5.循環查找%SystemRoot%\system32\soundmix.exe,%SystemRoot%\system32\dllcache\zipexr.dll如果不存在就將身復復制為該文件，以防止病毒文件被刪除。
6.查找可移動磁盤并在其根目錄下新建autorun.inf將自身復制可移動磁盤根目錄RECYCLER\autorun.exe感染可移動磁盤。
病毒創建文件：
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\soundmix.exe
%SystemRoot%\system32\dllcache\zipexr.dll
X:\autorun.inf
X:\RECYCLER\autorun.exe (X移動磁盤)
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
數據：soundmix
值：C:\WINDOWS\system32\soundmix.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
數據：默認
值：soundmix "%1" %*
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
Folder\Hidden\SHOWALL
數據：CheckedValue
值：0
