注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

85167118的博客

西安艺语网络传媒印务有限公司

 
 
 

日志

 
 

代理木马点击器Trojan-Clicker.Win32.Agent.dca  

2011-08-14 10:40:35|  分类: 默认分类 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

代理木马点击器
Trojan-Clicker.Win32.Agent.dca
捕获时间
2011-06-12
危害等级

病毒症状
  该样本是使用“VC ”编写的代理木马点击器木马,由微点主动防御软件自动捕获,采用UPX加壳,长度为“195,584字节”,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“网页挂马”、“下载器下载”等方式传播,病毒主要目的为用系统的浏览器访问黑客指定的网站,并间隔性的点击其中的广告  用户中毒后,会出现计算机及网络运行缓慢。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施

未安装微点主动防御软件的手动解决办法:

1、手动删除以下文件:
%Documents and Settings%\ADMINI~1\LOCALS~1\Temp\Cookies\index.dat
%SystemRoot%\dxplore.exe"

2、手动删除以下注册表项:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run -> "Document explorer" = "C:\WINDOWS\dxplore.exe?lC:\WINDOWS\dxplore.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run -> NULL = NULL

变量声明:

%SystemDriver%    系统所在分区,通常为“C:\”
%SystemRoot%     WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
%Temp%   临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%    系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析

1.创建socket链接端口1605;
2.打开%SystemRoot%\WindowsShell.Manifest文件。创建木马本身进程的监视进程;
3.对于%Documents and Settings%\Administrator\Local Settings下的History;Temporary;以及IE5.0的属性进行一系列操作;
4.创建文件 %Documents and Settings%\ADMINI~1\LOCALS~1\Temp\Cookies\index.dat;            
5创建文件%SystemRoot%\dxplore.exe"然后用拷贝替换的方式讲木马本身拷贝到deplore.exe;
7.创建注册表启动项HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run -> "Document explorer" = "C:\WINDOWS\dxplore.exe?lC:\WINDOWS\dxplore.exe"和HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run -> NULL = NULL;
8.连接远程网路norcox.com并从"http://norcox.com/meet/rss.php?source=ag&just=px下载%SystemRoot%\dxsplor.tst到本地并设置属性为隐藏运行同时将dxsplor.tst与dxplore.exe进行替换;
9.访问193.218.156.30:80下载文件到%Documents and Settings%\ADMINI~1\LOCALS~1\Temp\TemporaryInternet Files\Content.IE5\CVG181MX\rss[1].php劫持浏览器,在启动的时候加载自己;

病毒创建文件:

%Documents and Settings%\ADMINI~1\LOCALS~1\Temp\Cookies\index.dat
%SystemRoot%\dxplore.exe"

病毒创建注册表:
  
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run -> "Document explorer" = "C:\WINDOWS\dxplore.exe?lC:\WINDOWS\dxplore.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run -> NULL = NULL

  评论这张
 
阅读(62)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017