Trojan/Win32.Kach.he[Downloader]分析

一、 病毒标签：
病毒名称： Trojan/Win32.Kach.he[Downloader]
病毒类型： 木马
文件 MD5： A2D31B90DD91B37FC7EA4BD88CD784C5
公开范围： 完全公开
危害等级： 4
文件长度： 163,840 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0

二、 病毒描述：
该恶意代码文件为VB编写，当用户运行该病毒文件后会自动弹出2458网址导航的网页，修改并添加注册表键值，创建桌面伪IE，劫持IE快捷方式LNK、将被劫持的IE快捷方式文件设置为隐藏，并将IE主页指向一个病毒作者指定的网址，试图劫持其它浏览器也指向病毒作者指定的网页，病毒运行完后释放一个VBS脚本等待5秒之后删除病毒原文件，这个病毒主要行为就是添加修改大量注册表项，这个病毒没有启动项，清楚也很简单删除和恢复注册表项即可。

三、 行为分析：
本地行为:
1、衍生相同文件到以下目录分别命名为
%当前所在用户%\Recent\启动 internet explorer 浏览器.lnk
%当前所在用户%\Recent\Quick Launch.lnk
%当前所在用户%\桌面\绿色导航.url
%当前所在用户%\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 internet explorer 浏览器.iexplorex       

2、病毒修改添加注册表多个项，创建桌面伪IE劫持C:\Documents and Settings\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch目录下的IE快捷方式LNK，并试图劫持"iexplore|theworld|maxthon|360se|firefox|ttraveler|sogouexplorer"等浏览器，如果发现安装有这些浏览器中的任意一个病毒就会，将桌面的快捷方式隐藏并创建一个伪浏览器快捷方式用户点击之后也会指向病毒作者指定网页http://www.5136688.com/?cf234

3、修改和添加注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\@
新: 字符串: "Internet Explorer"
旧: 字符串: "Search Results Folder"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\DefaultIcon\@
新: 字符串: "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
旧: 字符串: "%SystemRoot%\system32\SHELL32.dll,-134."
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\ShellFolder\Attributes
新: DWORD: 1 (0x1)
旧: DWORD: 538443776 (0x20180000)

HKEY_CLASSES_ROOT\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell

HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\@
值: 字符串: "Internet Explorer"
HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\DefaultIcon\@
值: 字符串: "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\IntroText
值: 字符串: "Internet Explorer."
HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\LocalizedString
值: 字符串: "Internet Explorer."
HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell\@
值: 字符串: "打开主页(&O)"
HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell\打开主页(&O)\@
值: 字符串: "打开主页(&O)"
HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell\打开主页(&O)\Command\@
值: 字符串: ""C:\Program Files\Internet Explorer\IEXPLORE.EXE" http://www.5136688.com/?cf234"
HKEY_CURRENT_USER\Software\Classes\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\ShellFolder\Attributes
值: DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\@
值: 字符串: "快捷方式"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\CLSID\@
值: 字符串: "{FBF23B40-E3F0-101B-8488-00AA003E56F8}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\DefaultIcon\@
值: 字符串: "C:\Program Files\Internet Explorer\IEXPLORE.EXE."
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\NeverShowExt
值: 字符串: ""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\ScriptEngine\@
值: 字符串: "JScript.Encode"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\shell\@
值: 字符串: "open"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\shell\open\CLSID
值: 字符串: "{FBF23B40-E3F0-101B-8488-00AA003E56F8}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile\shell\open\command\@
值: 字符串: "%SystemRoot%\System32\WScript.exe "%1" %*."

网络行为:
运行病毒后自动弹出连接以下URL地址：
http://www.513****.com/?cf234

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　　


四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1） 手动恢复%当前所在用户%\Application Data\Microsoft\Internet Explorer\Quick Launch目录下被隐藏的IE快捷方式，删除创建在该目录下的伪IE快捷方式
（2） 强行删除病毒文件
%当前所在用户%\Recent\启动 internet explorer 浏览器.lnk
%当前所在用户%\Recent\Quick Launch.lnk
%当前所在用户%\桌面\绿色导航.url
%当前所在用户%\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 internet explorer 浏览器.iexplorex  
（3）  恢复并删除病毒添加的注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\@
新: 字符串: "Internet Explorer"
旧: 字符串: "Search Results Folder"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\DefaultIcon\@
新: 字符串: "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
旧: 字符串: "%SystemRoot%\system32\SHELL32.dll,-134."
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\ShellFolder\Attributes
新: DWORD: 1 (0x1)
旧: DWORD: 538443776 (0x20180000)

HKEY_CURRENT_USER\Software\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}
删除CLSID键下的{e17d4fc0-5564-11d1-83f2-00a0c90dc849}键
删除Classes键下的{e17d4fc0-5564-11d1-83f2-00a0c90dc849}键

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\iexplorexFile
删除Classes键下的iexplorexFile键
               
HKEY_CLASSES_ROOT\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\Shell
删除{e17d4fc0-5564-11d1-83f2-00a0c90dc849}键下的Shell键