病毒釋放者
Trojan-Dropper.Win32.Agent.arpd
捕獲時間
2011-02-28
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“病毒釋放者”程序，由微點主動防御軟件自動捕獲，長度為“36,864 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的是釋放病毒，并進一步控制用戶計算機，竊取用戶信息。。
用戶中毒后，可能會出現計算機無故重啟、關閉，重要文件丟失，系統及網絡緩慢、程序無故關閉等導致用戶隱私泄露及影響用戶使用的現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Dropper.Win32.Agent.arpd”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%%Temp%\tmp.exe
%%Temp%\_uninstall
%SystemRoot%\temp\tmp.exe
C:\Documents and Settings\All Users\「開始」菜單\程序\啟動\ktv.lnk
2、手動刪除以下注冊表項：
HKEY_LOCAL_MACHINE\Software\ASD
名稱：STM
數據：1298517450
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% 系統所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、在臨時文件夾目錄%Temp%下創建文件夾w8vvi2o（隨機名），然后在該文件夾下創建文件2.tmp，然后創建文件tmp.exe.tmp；
2、根據2.tmp和tmp.exe.tmp創建文件tmp.exe,然后將該文件移動到 %SystemRoot%\temp目錄下,將病毒運行信息寫入記錄文件%Temp%\_uninstall；
3、打開注冊表項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders，查找common startup項，根據數據找到C:\Documents and Settings\All Users\「開始」菜單\程序\啟動目錄，在該目錄下創建%SystemRoot%\temp\tmp.exe的快捷方式ktv.lnk,，實現tmp.exe的開機自啟動；
4.tmp.exe啟動后，創建名稱為Global\571AD448-1F69-47d5-AEC1-D5EA2234409B的事件；
5、連接病毒網絡8475.***.cn，發送用戶信息到該網絡地址；
6、打開互斥體“142378317”，查看是否有一個實例已經運行；
7、創建注冊表項HKEY_LOCAL_MACHINE\Software\ASD，名稱為STM，數據為1298517450；
8、連接病毒網絡http://60.***.234.138/pl1.txt，讀取網絡資源信息，獲取另一個網絡下載地址http://sp.demi***.com/88.exe；
9、打開網絡地址http://sp.demi***.com/88.exe，讀取網絡資源信息，將病毒文件下載到本地%Temp%目錄下并重命名為fvq8.tmp，然后運行下載的病毒文件；
病毒創建文件：
%Temp%\2.tmp
%Temp%\tmp.exe.tmp
%%Temp%\tmp.exe
%%Temp%\_uninstall
%SystemRoot%\temp\tmp.exe
C:\Documents and Settings\All Users\「開始」菜單\程序\啟動\ktv.lnk
病毒創建注冊表：
HKEY_LOCAL_MACHINE\Software\ASD
名稱：STM 數據：1298517450
病毒訪問網絡：
http://60.***.234.138/pl1.txt
8475.***.cn
8476.http://sp.demi***.com/88.exe
