注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

85167118的博客

西安艺语网络传媒印务有限公司

 
 
 

日志

 
 

木马下载者Trojan-Downloader.Win32.Geral.cqb  

2011-08-14 10:29:32|  分类: 计算机知识交流 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

木马下载者
Trojan-Downloader.Win32.Geral.cqb
捕获时间
2011-08-01
危害等级

病毒症状
该样本是使用“vc ”编写的木马程序,由微点主动防御软件自动捕获,采用“UPX”加壳方式,企图躲避特征码扫描,加壳后长度为长度为“33,349” 字节,图标为“”,病毒扩展名为“.exe”,病毒主要通过“文件捆绑”、“下载器下载”,“网页挂马”等方式传播,病毒目的窃取用户计算机中信息,用户中毒后出现系统运行缓慢,出现未知进程。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载

1.手动删除以下文件

%System32%\Program Files\Common Files\realteck\heoifz.pif
%system32%\5866250.OCX(文件名随机)
%Documents and Settings%\Administrator\Local Settings\Temporary Internet Files\Content.IE5\J1BAZ6S5\t[1].exe
%SystemRoot%\Temp\occ.ini
%Documents and Settings%\All Users\Documents\eck1.tmp


2.删除注册表

\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths
  \REGISTRY\USER\S-1-5-21-1220945662-2077806209-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\ History

变量声明:

%System32%                  win32子系统文件目录, 通常为“C:\Windows\System32”
  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\Program Files”

病毒分析:

1. 病毒伪装成文件夹图标诱骗用户点击。
2. 创建互斥对象 ZODANON ,创建进程快照查找ekrn.exe防止自身重复运行。
3. 把样本自身复制为%SystemDriver%\Program Files\Common Files\realteck\heoifz.pif,并修改一些代码。
4. 创建注册表CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32 写注册表键值Advapi32.RegSetValueExA。
5. 释放%system32%\5866250.OCX(文件名随机),加载此dll。
6. GetProcAddress获取 GetSkin, Setconfig函数地址, 并调用。 Setconfig函数创建新的线程, 新的线程连接网络222.76.217.179 ,220.112.44.174下载木马程序 J1BAZ6S5\s[1].exe。
7. 运行木马J1BAZ6S5\s[1].exe。

病毒创建文件:

%System32%\Program Files\Common Files\realteck\heoifz.pif
%system32%\5866250.OCX(文件名随机)
%Documents and Settings%\Administrator\Local Settings\Temporary Internet Files\Content.IE5\J1BAZ6S5\s[1].gif
%Documents and Settings%\Administrator\Local Settings\Temporary Internet Files\Content.IE5\J1BAZ6S5\t[1].exe
%SystemRoot%\Temp\occ.ini
%Documents and Settings%\All Users\Documents\eck1.tmp

病毒创建注册表:

\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths
= C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5

\USER\S-1-5-21-1220945662-2077806209-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\ History =C:\Documents and Settings\Administrator\Local Settings\History

病毒删除文件:

%Documents and Settings%\Administrator\Local Settings\Temporary Internet Files\Content.IE5\J1BAZ6S5\s[1].gif

病毒访问网络:

222.76.217.**
220.112.44.**

 

本信息由:陕西圣者娱乐有限公司、牌技帝国网、西安牌技网提供

  评论这张
 
阅读(82)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017