蠕蟲程序
Worm.Win32.Bototer.cr
捕獲時(shí)間
2010-5-26
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的木馬下載器，由微點(diǎn)主動防御軟件自動捕獲，長度為“1,489,408”字節(jié)，圖標(biāo)為“
”，病毒擴(kuò)展名為“exe”，主要通過“移動存儲介質(zhì)”、“文件捆綁”、“下載器下載”、“網(wǎng)頁掛馬”等方式傳播，病毒主要目的是下載病毒并運(yùn)行。
用戶中毒后，會出現(xiàn)系統(tǒng)運(yùn)行緩慢、網(wǎng)絡(luò)速度降低、系統(tǒng)無故報(bào)錯(cuò)，出現(xiàn)大量未知進(jìn)程、殺毒軟件無法啟動，無法進(jìn)入安全模式等現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
移動存儲介質(zhì)、網(wǎng)頁木馬、文件捆綁、下載器下載
防范措施
已安裝使用微點(diǎn)主動防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動防御將自動保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點(diǎn)主動防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動防御軟件升級到最新版，微點(diǎn)主動防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點(diǎn)主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點(diǎn)主動防御軟件升級到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Worm.Win32.Bototer.cr”，請直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動防御軟件升級后截獲已知病毒
未安裝微點(diǎn)主動防御軟件的手動解決辦法：
1.用正常系統(tǒng)文件替換以下文件：
%SystemRoot%\system32\appmgmts.dll
%SystemRoot%\system32\drivers\etc\hosts
2.用正常的注表值導(dǎo)入到以下位置：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Network
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
(1)該樣本原程序?yàn)橛?jì)算器程序，用戶點(diǎn)擊運(yùn)行后釋放捆綁的病毒文件到%SystemRoot%\booter.exe,并后臺運(yùn)行該程序。
(2)booter.exe運(yùn)行后檢測自身信息是否完整，并創(chuàng)建%SystemRoot%\DelInfo.bin記錄自身信息，試圖打開管道執(zhí)行命令。加載sfc_os.dll以去除Windows文件保護(hù)。將自身數(shù)據(jù)全部寫入%SystemRoot%\system32\appmgmts.dll中，替換該服務(wù)。成功后，退出主進(jìn)程。
(3)替換后的appmgmts.dll加載運(yùn)行后，讀取delinfo.bin中的信息，刪除病毒源文件并刪除Delinfo.bin。遍歷系統(tǒng)進(jìn)程，如果發(fā)現(xiàn)kav.exe或bdagent.exe則運(yùn)行相關(guān)代碼試圖躲避殺毒軟件查殺。并始終檢自身運(yùn)行狀態(tài)，監(jiān)視安全軟件運(yùn)行狀態(tài)，解密出自身數(shù)據(jù)。釋放驅(qū)動程序%Temp%\Forter.sys 并創(chuàng)建名為“Forter”的服務(wù)加載驅(qū)動程序，與驅(qū)動交互，計(jì)算內(nèi)核態(tài)函數(shù)地址，計(jì)算SSDT地址并恢復(fù)SSDT，將自身啟動信息發(fā)送給驅(qū)動創(chuàng)建注冊表啟動，創(chuàng)建注冊表劫持大量安全軟件。遍歷進(jìn)程，查找大量殺毒軟件進(jìn)程，如果找到則傳入驅(qū)動，關(guān)閉安全軟件進(jìn)程。執(zhí)行成功后刪除驅(qū)動文件以及鍵值。
(4)創(chuàng)建線程，檢測網(wǎng)絡(luò)連接，向指定網(wǎng)站提交信息，并下載大量病毒木馬到本地運(yùn)行，創(chuàng)建管道“\\.\pipe\96DBA249-E88E-4c47-98DC-E18E6E3E3E5A”，聽取命令。
(5)刪除安全模式相關(guān)注冊表鍵值，破壞安全模式。
(6)清除Host，創(chuàng)建線程，搜索并感染文件rar,htm,html,asp,aspx,exe格式文件。
(7)查找本地磁盤，感染移動介質(zhì)，在移動介質(zhì)根目錄下創(chuàng)建autorun.inf以及recycle.{645FF040-5081-101B-9F08-00AA002F954E}\Setup.exe
病毒創(chuàng)建文件：
%SystemRoot%\DelInfo.bin
%SystemRoot%\booter.exe
%SystemRoot%\system32\appmgmts.dll
X:\autorun.inf (X為被感染盤符)
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\Setup.exe
病毒刪除文件：
%SystemRoot%\DelInfo.bin
%SystemRoot%\booter.exe
病毒修改文件：
%SystemRoot%\system32\appmgmts.dll
%SystemRoot%\system32\drivers\etc\hosts
病毒刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Network
病毒訪問網(wǎng)絡(luò)：
www.3-0B6F-415D-B5C7-832F0.com
