Trojan/Win32.VB.ief分析

一、 病毒标签：
病毒名称： Trojan/Win32.VB.ief
病毒类型： 木马
文件 MD5： 6CD06CDAB9AD341314A17E2D7BA472D2
公开范围： 完全公开
危害等级： 3
文件长度： 32,768 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： 无

二、 病毒描述：
该病毒属木马类。病毒运行后，衍生Dx.bat文件到当前目录下，并执行；复制自身到系统根目录下，更名为Spoive.exe并设置该文件的属性；修改注册表，添加启动项，使病毒文件随机启动，病毒在运行后将判断ie图标是否被用户从桌面删除，如果已经删除，将通过注册表操作在桌面上添加该图标；通过注册表修改ie浏览器的默认主页；在系统根目录下衍生文本文件记录病毒文件上一次发作的日期。

三、 行为分析：
1、文件运行后会释放以下文件
%HomeDrive%\Spoive.exe                                                32,768 字节
%HomeDrive%\text.txt                                                        15 字节
2、新增注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值: "shostve"
类型： REG_SZ
值： "c:\Spoive.exe"
描述: 启动项，使病毒文件在当该系统的所有用户登陆该系统时，运行病毒文件。
3、修改注册表
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
注册表值: "Start Page"
原键值： REG_SZ "about:blank"
新键值： REG_SZ http://www.3392.cn/?999_20090114
描述：修改ie默认主页使感染计算机在通过ie打开网页时将自动打开该网页
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu]
注册表值: "{871C5380-42A0-1069-A2EA-08002B30309D}"
原键值：DWORD: 0 (0)
新键值：DWORD: 1 (0x1)
描述：在桌面上添加ie浏览器图标
4、Dx.bat文件内容
@ECHO off
color 0A
copy Trojan.Win32.VB.ief(6CD06CDAB9AD341314A17E2D7BA472D2).exe c:\Spoive.exe >nul
attrib +r +s +h c:\Spoive.exe >nul
@REG ADD HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v shostve /t REG_SZ /d c:\Spoive.exe /f
del %0

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
    %Windir%\                           WINDODWS所在目录
%DriveLetter%\                        逻辑驱动器根目录
%ProgramFiles%\                        系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\        当前用户文档根目录

四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
Spoive.exe
(2) 删除病毒文件
%HomeDrive%\Spoive.exe
%HomeDrive%\text.txt
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值: "shostve"
类型： REG_SZ
值： "c:\Spoive.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
注册表值: "Start Page"
原键值： REG_SZ "about:blank"
新键值： REG_SZ http://www.3392.cn/?999_20090114
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu]
注册表值: "{871C5380-42A0-1069-A2EA-08002B30309D}"
原键值：DWORD: 0 (0)
新键值：DWORD: 1 (0x1)