Trojan/Win32.Zbot.akbd[Spy]分析
一、 病毒标签：病毒名称： Trojan/Win32.Zbot.akbd
病毒类型： 木马类
文件 MD5： AA8B644BB6AE9C5AF2D6078110320512
公开范围： 完全公开
危害等级： 4
文件长度： 147,968 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： UPX
二、病毒描述：
该恶意代码文件为后门类木马，病毒运行后动态获取多个API函数，对进程进行提权操作，设置内存报错信息为安静模式，创建互斥体MutexName = "_AVIRA_21099"防止病毒多次运行，遍历进程查找outpost.exe进程（防火墙相关程序），判断自身进程是否是%System32%目录下的sdra64.exe，在注册表winlogon键值下创建病毒启动项，为了防止病毒版本过旧病毒会删除%System32%目录下的sdra64.exe并重新拷贝自身到该目录下命名，并将文件属性设置为系统隐藏文件、将文件的创建时间设置为NTDLL.DLL的创建时间，遍历进程查找winlogon.exe进程找到之后判断这个进程路径是否正确，对该进程提权之后并申请一段内存空间，向该进程写入122880字节病毒数据，然后调用函数创建远程线程执行病毒代码，病毒代码一旦执行之后衍生多个文件到系统目录下、创建\\.\pipe\_AVIRA_2109管道，利用NamedPipe管道进行通讯，收集本机的FTP账号信息，将获取的账号及密码发送到作者地址中
三、 行为分析：
本地行为:
1、衍生相同文件到以下目录分别命名为
%System32%\sdra64.exe（病毒自身）
%System32%\lowsec\local.ds（用于保存收集的账号信息并加密）
%System32%\lowsec\user.ds.lll
%System32%\lowsec\user.ds （用于保存收集的账号信息并加密）
2、遍历进程查找outpost.exe进程（防火墙相关程序），判断自身进程是否是%System32%目录下的sdra64.exe，在注册表winlogon键值下创建病毒启动项，为了防止病毒版本过旧病毒会删除%System32%目录下的sdra64.exe并重新拷贝自身到该目录下命名，并将文件属性设置为系统隐藏文件、将文件的创建时间设置为NTDLL.DLL的创建时间，遍历进程查找winlogon.exe进程找到之后判断这个进程路径是否正确，对该进程提权之后并申请一段内存空间，向该进程写入122880字节病毒数据，然后调用函数创建远程线程执行病毒代码。
3、修改注册表添加启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
新: 字符串: "C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,"
旧: 字符串: "C:\WINDOWS\system32\userinit.exe,""
网络行为:
协议：TCP
端口：80
IP地址：113.11.194.***
不断链接以上IP直到链接成功为止 （该IP暂时无法PING通）
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是C:\Windows\System
windowsXP中默认的安装路径是C:\Windows\System32
四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1） 使用ATOOL“进程管理”关闭病毒相关进程
（2） 强行删除病毒文件
%System32%\sdra64.exe（病毒自身）
%System32%\lowsec\local.ds（用于保存收集的账号信息并加密）
%System32%\lowsec\user.ds.lll
%System32%\lowsec\user.ds （用于保存收集的账号信息并加密）
（3）恢复病毒修改的注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
新: 字符串: "C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,"
旧: 字符串: "C:\WINDOWS\system32\userinit.exe," 本人已阅! {:1_285:}
页:
[1]