注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

85167118的博客

西安艺语网络传媒印务有限公司

 
 
 

日志

 
 

[手动解决]木马下载者Trojan-Downloader.Win32.Small.cla  

2009-11-30 16:37:56|  分类: 计算机知识交流 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
木马下载者

Trojan-Downloader.Win32.Small.cla

捕获时间

2009-11-29

危害等级



病毒症状

 该样本是使用“Microsoft visual C\C ”编写的“木马下载者”,由微点主动防御软件自动捕获,采用“UPX”加壳方式试图躲避特征码扫描,加壳后长度为29,696字节,图标为“
”, 使用“ exe”扩展名,通过网页木马、下载器下载的方式进行传播,病毒主要目的是下载病毒木马到本地执行。
    用户中毒后,会出现杀毒软件进程无故退出且无法正常运行,系统以及网络运行缓慢,出现大量可疑进程等症状。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista

传播途径

网页挂马、文件捆绑、下载器下载
手动解决办法:

1、手动删除以下文件:

%Temp%\~385662.kx
%Temp%\~501826.exe
%SystemRoot%\system32\4Acxv.exe

2、手动删除以下注册表键:

HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution\[安全软件]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:msconfig
数据:%SystemRoot%\system32\4Acxv.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vb
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aav

3、手动恢复以下文件:

用同版本文件替换:
%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\userinit.exe

变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析

1.病毒运行后创建名称为“ffgio”的互斥量。
2.动态获取有关服务的API,尝试打开“wsccvs”服务,如果成功,就停止该服务。
3.遍历进程查找ekrn.exe和egui.exe,如果找就尝试打开ekrn服务,打开成功就停止该服务,并调用taskkill结束ekrn.exe和egui.exe进程。
4.遍历进程查找
360tray.exe
360tray.exe
safeboxtray.exe"
avp.exe,如果找到就释放动态库文件"%Temp%\~385662.kx"
5.创建进程,调用rundll32加载~385662.kx,尝试打开“aav”服务,如果成功就删除该服务,释放驱动文件pci.sys,遍历进程查找并结束360相关进程,查找系统托盘图标,结束avp.exe进程,创建avp映像劫持,最后删除驱动文件。
6.释放~501826.ex和4Acxv.exe。
7.设置自己为"SeDebugPrivilege"权限,设置启动项。
8.创建名称为“vb”的服务,服务执行程序为~501826.ex,修改userinit.exe,最后删除~501826.ex。
9.调用WinExec执行~501826.exe,在~501826.exe中比较自己是否为userinit.exe,如果不是就创建名称为“avpv0”的互斥量,创建线程,查找进程QQ.exe和cmd.exe,如果找到QQ.exe就连接网络,发送信息;如果找到cmd.exe,就发送消息使cmd.exe退出,修改hosts文件,访问网络,下载病毒列表,根据列表下载病毒到本地执行。
10.创建egui映像劫持。

病毒创建文件:

%Temp%\~385662.kx
%Temp%\pci.sys
%Temp%\~501826.ex
%Temp%\~501826.exe
%SystemRoot%\system32\4Acxv.exe

病毒删除文件:

%Temp%\~501826.ex
%Temp%\pci.sys

病毒修改文件:

%SystemRoot%\system32\drivers\etc\hosts
%SystemRoot%\system32\userinit.exe

病毒创建注册表:

HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Image File Execution\[安全软件]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:msconfig
数据:%SystemRoot%\system32\4Acxv.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vb
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aav

 

  评论这张
 
阅读(26)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017