[病毒分析] Trojan-Downloader.Win32.Agent.tbl分析

大象

董事长

帖子: 7313
ZOO币: 54369
鲜花: 136
臭鸡蛋: 576
阅读权限: 200

动物家园帅哥勋章论坛公仆勋章

1^# 大中小发表于 2008-6-27 10:59 只看该作者

Trojan-Downloader.Win32.Agent.tbl分析

病毒标签：
	病毒名称： Trojan-Downloader.Win32.Agent.tbl 病毒类型：下载者文件 MD5： E465558250F58B1985174B1137CA8176 公开范围：完全公开危害等级： 4 文件长度： 15,800 字节感染系统： Windows98以上版本开发工具： Microsoft Visual C++ 6.0 加壳类型： nSPack 2.1 - 2.5
病毒描述：
	该病毒属木马类，病毒运行后，复制自身到%System32%目录下，并在该目录下衍生病毒文件，复制自身到各个驱动器根目录下，并衍生autorun.inf文件；修改注册表，删除错误报告的系统服务；锁定文件的显示方式为隐藏；通过向金山的防火墙窗口发送消息，使金山的防火墙失效，试图关闭卡巴斯基杀毒软件，连接网络下载病毒列表，并依照列表下载病毒文件。

行为分析：
	本地行为： 1、文件运行后会释放以下文件：　　　　%HomeDrive%\auto.exe 　　　　%HomeDrive%\autorun.inf 　　　　%DriveLetter%\auto.exe 　　　　%DriveLetter%\autorun.inf 　　　　%System32%\876BB5D0.EXE 　　　　%System32%\B77E6515.DLL 2、新增注册表：　　　　[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet 　　　　\Services\CDB756DE] 　　　　注册表值: "Description" 　　　　类型： REG_SZ 　　　　值： "B77E6515" 　　　　描述：服务描述　　　　[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet 　　　　\Services\CDB756DE] 　　　　注册表值: "isplayName" 　　　　类型： REG_SZ 　　　　值： "CDB756DE" 　　　　描述：服务名称　　　　[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet 　　　　\Services\CDB756DE] 　　　　注册表值: "magePath" 　　　　类型： REG_SZ 　　　　值： "C:\WINDOWS\system32\876BB5D0.EXE -k" 　　　　描述：服务映像路径 3、修改注册表：　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft 　　　　\Windows\CurrentVersion\Explorer 　　　　\Advanced\Folder\Hidden\SHOWALL] 　　　　新建键值：DWORD："CheckedValue"="0" 　　　　原键值：DWORD："CheckedValue"="1" 　　　　描述: 锁定文件的显示方式为隐藏 4、删除错误报告服务：　　　　服务名称：Error Reporting Service 　　　　服务描述：服务和应用程序在非标准环境下运行时允许错误报告。　　　　映像路径：%SystemRoot%\System32\svchost.exe -k netsvcs 　　　　启动方式：自动网络行为: 1、连接网络下载病毒列表，并依照病毒列表下载病毒文件：　　　　http://alexa.ve**.cn//alexa.txt 下载失败　　　　http://33.xinga.cn/soft//update.txt 下载文件列表　　　　http://33.xinga.cn/soft/soft/f2b4657b5568d072.exe 病毒新版本文件 2、列表文件内容如下：　　　　[update] 　　　　ver=2008040801 　　　　url=http://33.xinga.cn/soft/soft/f2b4657b5568d072.exe 　　　　updatetimer=60 　　　　[startpage] 　　　　startpage=0 　　　　url=ssssssssssssssssssss 　　　　[desktop] 　　　　desktop=0 　　　　count=1 　　　　title1=免费网络电话　　　　url1=http://skype.t.com/download/archive 　　　　/01400974/SkypeClient.exe 　　　　[file] 　　　　[count] 　　　　count=0 　　　　mecount=0 　　　　url=http://nx.51****b.cn/soft/count/count.asp 　　　　 3、病毒更新版本文件运行后行为：　　　　1)文件运行后会释放以下文件：　　　　%HomeDrive%\auto.exe 　　　　%HomeDrive%\autorun.inf 　　　　%DriveLetter%\auto.exe 　　　　%DriveLetter%\autorun.inf 　　　　%System32%\D02D2E41.EXE 　　　　%System32%\E791145A.DLL 　　　　2)新增注册表：　　　　[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet 　　　　\Services\CDB756DE] 　　　　注册表值: "Description" 　　　　类型： REG_SZ 　　　　值： "E791145A" 　　　　描述：服务描述　　　　[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet 　　　　\Services\CDB756DE] 　　　　注册表值: "isplayName" 　　　　类型： REG_SZ 　　　　值： "42AAD55B" 　　　　描述：服务名称　　　　[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet 　　　　\Services\CDB756DE] 　　　　注册表值: "magePath" 　　　　类型： REG_SZ 　　　　值： "C:\WINDOWS\system32\D02D2E41.EXE -k" 　　　　描述：服务映像路径　　　　3)修改注册表：　　　　[KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows 　　　　\CurrentVersion\Explorer\Advanced\Folder 　　　　\Hidden\SHOWALL] 　　　　新建键值：DWORD："CheckedValue"="0" 　　　　原键值：DWORD："CheckedValue"="1" 　　　　描述: 锁定文件的显示方式为隐藏　　　　4)删除错误报告服务　　　　服务名称：Error Reporting Service 　　　　服务描述：服务和应用程序在非标准环境下运行时允许错误报告。　　　　映像路径：%SystemRoot%\System32\svchost.exe -k netsvcs 　　　　启动方式：自动　　　　注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。　　　　　　%Windir% 　　　　　　　　　　 WINDODWS所在目录　　　　%DriveLetter%　　　　　　　　逻辑驱动器根目录　　　　%ProgramFiles%　　　　　　　系统程序默认安装目录　　　　%HomeDrive% 　　　　　　　　　当前启动的系统的所在分区　　　　%Documents and Settings% 　　　当前用户文档根目录　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings 　　　　　　　　　　　　　　　　　　　\当前用户\Local Settings\Temp 　　　　%System32% 　　　　　　　　　　系统的 System32文件夹　　　　　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32 　　　　windows95/98/me中默认的安装路径是C:\Windows\System 　　　　windowsXP中默认的安装路径是C:\Windows\System32

清除方案：

手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 (1)在计算机管理“服务”中关闭病毒服务。
　　 42AAD55B、CDB756DE
　 (2)删除病毒文件：
　　 %HomeDrive%\auto.exe
　　 %HomeDrive%\autorun.inf
　　 %DriveLetter%\auto.exe
　　 %DriveLetter%\autorun.inf
　　 %System32%\876BB5D0.EXE
　　 %System32%\D02D2E41.EXE
　 (3)重新启动机器，删除病毒文件：
　　 %System32%\E791145A.DLL
　　 %System32%\B77E6515.DLL
　 (4)下载注册表修复文件，修复注册表附件.