“卜樂斯”
Trojan-Downloader.Win32.Geral.g
捕獲時間
2010-6-03
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的木馬下載器類程序，由微點主動防御軟件自動捕獲，長度為“41,896”字節，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的是下載病毒木馬。
用戶中毒后，會出現系統無故報錯，殺軟無故退出無法啟動，發現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
網頁木馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Geral.g”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除以下文件：
%temp%\kcv.dat
%SystemDriver%\tmp.hiv
%ProgramFiles%\KAV\TvPlus.inf
%ProgramFiles%\KAV\TvPlus.sys
%ProgramFiles%\KAV\TvPlus.dll
%systemroot%\system32\drivers\pcidump.sys
%systemroot%\system32\kav.exe
%systemroot%\
system32\jxgamepacik.pak
2.手動刪除以下注冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
數據：kav
值：C:\WINDOWS\system32\kav.exe
3.用正常的hosts文件替換%SystemRoot%\system32\drivers\etc\hosts
用正常的pcidump.sys替換%systemroot%\system32\drivers\pcidump.sys
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.創建互斥體"LDMMOO."防止多次運行，比較自身是否為Explorer.exe，如果是則將%systemroot%\system32\drivers\gm.dls拷貝為%SystemRoot%\temp\Explorer.exe并加載運行，如果不是則創建進程快照查找avp.exe找到后創建病毒文件%temp%\kcv.dat，結束卡巴、RavMonD.exe進程。
2.創建病毒文件%SystemDriver%\tmp.hiv，
新建注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local成功后刪除tmp.hiv。建立大量安全軟件映像劫持，使安全軟件無法啟動
3.創建病毒文件%ProgramFiles%\KAV\TvPlus.inf， %ProgramFiles%\KAV\TvPlus.sys安裝驅動文件，創建病毒文件%ProgramFiles%\KAV\TvPlus.dll并加載運行，獲取內核函數地址傳入驅動，恢復SSDT。查找ekrn.exe，360tray.exe，zhudongfangyu.exe，avp.exe，safeboxTray.exe，360Safebox.exe ，360tary.exe，antiarp.exe，RsAgent.exe，mfeann.exe，egui.exe，RavMon.exe，RavMon.exeD，RavTask.exe，CCenter.exe，RavStub.exe，RsTray.exe，ScanFrm.exe，Rav.exe，AgentSvr.exe，CCenter.exe，QQDoctor.exe，McProxy.exe，mcshield.exe，rsnetsvr.exe，naPrdMgr.exe，MpfSrv.exe，MPSVC.exe，MPSVC1.exe，KISSvc.exe，KPfwSvc.exe，kmailmon.exe，KavStart.exe，engineserver.exe，KPFW32.exe等大量安全軟件進程傳入驅動關閉該進程，完成后刪除驅動文件信息。
4.釋放%Temp%\cd89.exe并加載運行，修改用戶hosts文件，解釋自身信息，從指定網址下載大量病毒木馬到本地運行。
5.釋放病毒文件%systemroot%\system32\jxgamepacik.pak并加載運行，創建驅動文件%systemroot%\system32\drivers\pcidump.sys,注入Explorer.exe并感染system32\drivers\gm.dls.成功后刪除pcidump.sys
6.將自身重命名為%systemroot%\system32\kav.exe。并修改注冊表實現自啟動。
病毒創建文件：
%temp%\kcv.dat
%SystemDriver%\tmp.hiv
%ProgramFiles%\KAV\TvPlus.inf
%ProgramFiles%\KAV\TvPlus.sys
%ProgramFiles%\KAV\TvPlus.dll
%systemroot%\system32\drivers\pcidump.sys
%systemroot%\system32\kav.exe
%systemroot%\
system32\jxgamepacik.pak
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
數據：kav
值：C:\WINDOWS\system32\kav.exe
病毒訪問網絡：
http://cq.wwdns***.com:18182/c/b.txt
http://mc12.mc12**.com:18888/56/tj.asp?
http://cq.wwdns***.com:18182/c/host.txt
