好词好句 > Trojan.Downloader.Win32.Agent

Trojan.Downloader.Win32.Agent

该病毒为下载者木马类,病毒运行后调用API获取系统文件夹路径,衍生病毒文件到%Windir%\AppPatch目录下,重命名为Jview.dll与AcXtrnel.dll,并添加注册表启动项,创建rundll32.exe使该进程加载病毒DLL文件,连接网络下载大量恶意病毒文件到本地执行,经分析下载的大量病毒为盗号木马类,给用户清理造成及大的不便

病毒名称: Trojan-Downloader.Win32.Agent.qpv

文件 MD5: 189ED63C1B967C365457B31E17EFDE00

文件长度: 9,728 字节

感染系统: Windows98以上版本

开发工具: Microsoft Visual C++ 6.0

加壳类型: UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo

1、文件运行后会释放以下文件:

%Windir%\AppPatch\Jview.dll 13,824 字节

%Windir%\AppPatch \AcXtrnel.dll 9,216 字节

2、添加注册表病毒启动项:

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes

\CLSID\

\InprocServer32]

新建键值: "@"

类型: REG_SZ

字符串: "C:\WINDOWS\AppPatch\Jview.dll"

描述: 添加注册表项,以达到随机启动的目的

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes

\CLSID\

\InprocServer32]

新建键值: "ThreadingModel"

类型: REG_SZ

字符串: "Apartment"

描述: 注册CLSID值

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft

\Windows\CurrentVersion

\ShellServiceObjectDelayLoad]

新建键值: "JavaView"

类型: REG_SZ

字符串: ""

3、创建rundll32.exe使该进程加载病毒DLL文件。

4、连接网络读取列表下载大量恶意病毒文件到本地执行。

协议:TCP

端口:53

连接服务器名:125.83.89.**

IP地址:125.83.89.**

描述:连接服务器读取TXT列表内容下载病毒,读取的列表内容:

http://125.83.89.**:53/10.gif

http://125.83.89.**:53/11.gif

http://125.83.89.**:53/12.gif

http://125.83.89.**:53/13.gif

http://125.83.89.**:53/14.gif

http://125.83.89.**:53/15.gif

http://125.83.89.**:53/16.gif

http://125.83.89.**:53/17.gif

http://125.83.89.**:53/18.gif

http://125.83.89.**:53/19.gif

http://125.83.89.**:53/2.gif

http://125.83.89.**:53/20.gif

http://125.83.89.**:53/3.gif

http://125.83.89.**:53/4.gif

http://125.83.89.**:53/5.gif

http://125.83.89.**:53/6.gif

http://125.83.89.**:53/7.gif

http://125.83.89.**:53/8.gif

http://125.83.89.**:53/9.gif

http://abc.updat****.cn/21.gif

http://abc.updat****.cn/22.gif

http://abc.updat****.cn/23.gif

http://abc.updat****.cn/24.gif

http://abc.updat****.cn/25.gif

http://abc.updat****.cn/26.gif

http://abc.updat****.cn/27.gif

http://abc.updat****.cn/28.gif

http://abc.updat****.cn/29.gif

http://abc.updat****.cn/30.gif

http://abc.updat****.cn/31.gif

http://abc.updat****.cn/32.gif

http://abc.updat****.cn/33.gif

http://abc.updat****.cn/34.gif

http://abc.updat****.cn/35.gif

注: %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。

%Windir% WINDODWS所在目录

%DriveLetter% 逻辑驱动器根目录

%ProgramFiles% 系统程序默认安装目录

%HomeDrive% 当前启动的系统的所在分区

%Documents and Settings% 当前用户文档根目录

%Temp% \Documents and Settings\当前用户\Local Settings\Temp

%System32% 系统的 System32文件夹

Windows2000/NT中默认的安装路径是C:\Winnt\System32

windows95/98/me中默认的安装路径是C:\Windows\System

windowsXP中默认的安装路径是C:\Windows\System32

1 、使用安天防线可彻底清除此病毒 2 、手工清除请按照行为分析删除对应文件,恢复相关系统设置。

(1)使用ATOOL"进程管理"找到rundll32.exe进程结束该进程 (2)强行删除病毒文件:

%Windir%\AppPatch\Jview.dll

%Windir%\AppPatch \AcXtrnel.dll

(3)删除病毒服务注册表项:

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes

\CLSID\

\InprocServer32]

新建键值: "@"

类型: REG_SZ

字符串: "C:\WINDOWS\AppPatch\Jview.dll"

描述: 添加注册表项,以达到随机启动的目的

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes

\CLSID\

\InprocServer32]

新建键值: "ThreadingModel"

类型: REG_SZ

字符串: "Apartment"

描述: 注册CLSID值

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft

\Windows\CurrentVersion

\ShellServiceObjectDelayLoad]

新建键值: "JavaView"

类型: REG_SZ

字符串: ""

All rights reserved Powered by 好词好句 www.9512.net

copyright ©right 2010-2021。
好词好句内容来自网络,如有侵犯请联系客服。zhit325@126.com