木馬下載者
Trojan-Downloader.Win32.Agent.a
捕獲時(shí)間
2012-03-27
危害等級
中
病毒癥狀
該樣本是使用“Microsoft Visual C 6.0”編寫的“下載器”，由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲,加殼后長度為“12,800”字節(jié)，圖標(biāo)為“
”，使用“exe”擴(kuò)展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進(jìn)行傳播，病毒主要目的是指引用戶計(jì)算機(jī)到黑客指定的URL地址去下載更多的病毒或木馬后門文件并運(yùn)行。
用戶中毒后會(huì)出現(xiàn)電腦的運(yùn)行速度變慢，殺軟無故退出而不能啟動(dòng)，出現(xiàn)大量未知進(jìn)程等現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動(dòng)防御軟件升級到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲未知病毒（未升級）
如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Trojan-Downloader.Win32.Agent.a ”，請直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動(dòng)防御軟件升級后截獲已知病毒
未安裝微點(diǎn)主動(dòng)防御軟件的手動(dòng)解決辦法：
手動(dòng)刪除以下文件：
%ProgramFiles%\Docmentt\ehexs.exe
%ProgramFiles%\DownTemp\*.*
手動(dòng)刪除注冊表項(xiàng)：
項(xiàng)：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}
鍵：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}\ stubpath
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1、創(chuàng)建一個(gè)名為“DSDDDAAAAS”的事件對象，獲取系統(tǒng)安裝目錄，獲取樣本的路徑，創(chuàng)建文件"c:\SaveTxta716.txt"，將樣本的路徑寫入文件，比較是否為"C:\Program Files\Docmentt\ehexs.exe"。
2、如果不是，創(chuàng)建"C:\Program Files\Docmentt\"文件夾，判斷"C:\Program Files\Docmentt\ehexs.exe"是否存在，若存在則刪除它。
3、以拷貝的形式將樣本復(fù)制為"C:\Program Files\Docmentt\ehexs.exe"，以讀寫打開二進(jìn)制文件的方式打開"C:\Program Files\Docmentt\ehexs.exe"，在文件尾加入空字符，改變文件的大小信息。
4、以創(chuàng)建線程的方式打開"C:\Program Files\Docmentt\ehexs.exe"。
5、獲取臨時(shí)文件夾的路徑，解密網(wǎng)址"http://424716.15****508.cn/424716.gif"，獲取當(dāng)前系統(tǒng)的時(shí)間。
6、創(chuàng)建名為“716”的互斥體，防止文件重復(fù)運(yùn)行。
7、創(chuàng)建一個(gè)線程，讀取"c:\SaveTxta716.txt"內(nèi)容，找到樣本路徑，刪除樣本文件和該文件。
8、再創(chuàng)建第二個(gè)線程，，獲取當(dāng)前文件路徑，刪除注冊表項(xiàng)HKEY_CURRENT_USER\ \SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}，創(chuàng)建項(xiàng)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}，將鍵值設(shè)置為Versiob716，創(chuàng)建鍵名為stubpath鍵值為C:\Program Files\Docmentt\ehexs.exe的鍵。實(shí)現(xiàn)自啟動(dòng)功能。
9、刪除"c:\windows\system32\taskmgr.exe"文件（任務(wù)管理器），睡眠5秒，獲取窗口的標(biāo)題條文本，查找其中是否包含“捕”、“檢”、“監(jiān)”、“數(shù)據(jù)包”、“Sniff”、“嗅”、“任務(wù)管理器”、“木馬”、“winsock”、“抓”、“IceSword” 、“VMware”，如果包含上述字符，則循環(huán)等待。
10、初始化網(wǎng)絡(luò)，打開http://424716.15****508.cn/424716.gif，將圖片保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\34359897.gif"，從文件中獲取字符串信息，解析出木馬下載鏈接。
11、創(chuàng)建"C:\Program Files\DownTemp\"文件夾，根據(jù)解析的網(wǎng)址下載木馬等程序，然后運(yùn)行所下載的木馬程序。
12、刪除圖片"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\34359897.gif"。
13、獲取本機(jī)的mac地址，獲取用用戶標(biāo)識(shí)符等信息，發(fā)送到指定網(wǎng)址"http://424716.15****508.cn/count.asp?mac=00-0c-29-53-e6-e4&userid=10"。
14、創(chuàng)建第三個(gè)線程，循環(huán)刪除該樣本所下載的木馬文件，彈出網(wǎng)頁http://www.s****w.com/index.htm。
15、休眠20分鐘，重復(fù)上述步驟。
病毒創(chuàng)建文件：
%SystemDriver%\SaveTxta716.txt
%ProgramFiles%\Docmentt\ehexs.exe
%Temp%\34359897.gif（文件名隨機(jī)）
%ProgramFiles%\DownTemp\*.*
病毒創(chuàng)建注冊表：
項(xiàng)：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}
鍵：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}\ stubpath
病毒刪除文件：
%SystemDriver%\SaveTxta716.txt
%Temp%\34359897.gif（文件名隨機(jī)）
%ProgramFiles%\DownTemp\*.*
%SystemRoot%\system32\taskmgr.exe
樣本自身文件
病毒訪問網(wǎng)絡(luò)：
http://424716.15****508.cn/424716.gif
http://www.s****w.com/index.htm
http://424716.15****508.cn/count.asp?mac=*********&userid=**
