木馬下載器
Trojan-Downloader.Win32.Agent.bmmx
捕獲時間
2010-11-01
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“下載”，由微點主動防御軟件自動捕獲,長度為“18,420”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是下載病毒木馬。
當用戶計算機感染此木馬病毒后,會出現系統無故報錯,殺毒軟件自動退出無法啟動,并且發現未知進程等現象.
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Agent.bmmx”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除文件
1．刪除%SystemDriver%\Winup\ kb37151.exe（隨機名）
2．刪除%SystemRoot%\system32\dbr07005.mdd
3．刪除%SystemRoot%\system32\dbr07005.iem
4．刪除%SystemRoot%\system32\gbvgbv07.exe
5．刪除%temp%\tmp.tmp
導入正確的注冊表信息
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Desktop\NameSpace
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.病毒獲得自身路徑，以及病毒輸出狀態信息，并建立互斥體變量名“mutex_cpa_.la”, "mutex_cj1.la","mutex_cj2.la"等，主要是防止程序多次運行。
2.病毒建立進程快照，查找進程名為："360tray.exe"，"360sd.exe"，"Ravmond.exe"，"avp.exe"，"ekrn.exe"，
"kissvc.exe"，"kvsrvxp.exe"，"avguard.exe"，"MPMon.exe"，"Mcshield.exe"，
"VPTray.exe"，"ashWebSv.exe"等進程，找到以后，結束該進程。
3.病毒獲得C盤目錄信息，在該目錄下創建“C:\regset.ini”配置信息，以及修改了注冊表信息：HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Desktop\NameSpace，使病毒刪除原來的IE快捷方式以及在桌面創建的偽IE圖標，無法刪除。并運行該病毒之后，自刪除之。
4.病毒在C：\Winup目錄下創建隨機文件名為“kb37151.exe”，對該文件進行寫入數據并運行之。
5，“kb37151.exe”獲得系統目錄路徑，在該目錄下創建文件C:\WINDOWS\system32\dbr07005.mdd 以及C:\WINDOWS\system32\dbr07005.iem 等文件，并修改kb37151.exe(隨機名)文件的內容，用替換的方式拷貝C:\WINDOWS\system32\dbr07005.iem到C:\WINDOWS\system32\msctfime.ime。
6, “kb37151.exe”文件獲取C:\WINDOWS\system32\rundll32.exe文件路徑，用替換的方式拷貝C:\WINDOWS\system32\rundll32.exe到C:\WINDOWS\system32\gbvgbv07.exe，然后建立進程，以 命令行的形式啟動
“C:\WINDOWS\system32\gbvgbv07.exe C:\WINDOWS\system32\msctfime.ime fafjkkk”該進程，然后休眠10s,又以 命令行的形式啟動“C:\WINDOWS\system32\gbvgbv07.exe C:\WINDOWS\system32\msctfime.ime gacklllr C：\Winup\ kb37151.exe”進程
7，“kb37151.exe”獲得臨時文件路徑，在該目錄下釋放文件%temp%\tmp.tmp，然后建立"C:\WINDOWS\System32\svchost.exe"進程，對該進程進行寫內存操作，并建立遠程線程注入，以及將用戶的網卡地址發送到黑客指定的網站。訪問指定網址，下載大量病毒程序并運行。
8，“kb37151.exe”在臨時文件目錄下創建%tmep%\kb37151.bat文件并運行之，批處理文件主要是刪除kb37151.exe文件和批處理自身
病毒創建文件：
%SystemDriver%\Winup\ kb37151.exe（隨機名）
%SystemRoot%\system32\dbr07005.mdd
%SystemRoot%\system32\dbr07005.iem
%SystemRoot%\system32\gbvgbv07.exe
%temp%\tmp.tmp
病毒創建注冊表：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Desktop\NameSpace
病毒訪問網絡：
http://www.hao****.com/1.7
http://www.******.cn/Count/count.asp?mac=00c029f27116&xxx=11"
