Backdoor.Win32.Agent.pix分析

一、 病毒标签：
病毒名称： Backdoor.Win32.Agent.pix
病毒类型： 后门
文件 MD5： CA79F53A37B149F2340B5108FC559025
公开范围： 完全公开
危害等级： 4
文件长度： 加壳后37,197 字节 脱壳后133,120字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： FSG 2.0

二、 病毒描述：
该病毒是后门型病毒，病毒图标为"HTML Document"类型，以迷惑用户点击运行病毒。病毒运行后，衍生病毒文件rapimgr.exe、utilty.exe到系统目录%System32%下；新增注册表项，创建服务ClientService，病毒服务启动的映像路径指向utilty.exe；创建服务RMTCS，病毒服务启动的映像路径指向rapimgr.exe；用来当任意用户登陆系统时运行病毒文件rapimgr.exe、utilty.exe。该病毒在执行完自身代码后，会结束自身进程，删除自身。受感染用户可能会被操纵进行Ddos攻击、远程控制、机密信息丢失、发送垃圾邮件、创建本地Tftp、下载病毒文件等行为。

三、 行为分析：
本地行为:
1、文件运行后会释放以下文件
%System32%\rapimgr.exe      37,197字节
%System32%\utilty.exe      36,265字节
2、新增注册表
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ClientService]
注册表值: " Description "
类型： REG_SZ
字符串： "监视新硬盘驱动器并向逻辑磁盘管理器管理服务发送卷的信息以便配置。如果此服务被终止，动态磁盘状态和配置信息会过时。如果此服务被禁用，任何依赖它的服务将无法启动。"
描述:服务描述
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ClientService]
注册表值: " DisplayName "
类型： REG_SZ
字符串： "Distributed Link Tracking Client Service"
描述:服务名称
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ClientService]
注册表值: "ImagePath"
类型： REG_SZ
字符串： "C:\WINDOWS\system32\utilty.exe"
描述:服务的映像文件的启动路径
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ClientService]
注册表值: "Start "
类型： DWORD
值： 2
描述:服务的启动方式为自动
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RMTCS]
注册表值: " Description "
类型： REG_SZ
字符串： "使用传输协议而不是命名管道的远程过程调用(RPC)程序提供安全机制。"
描述:服务描述
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RMTCS]
注册表值: " DisplayName "
类型： REG_SZ
字符串： "Remote Tracking Client Service"
描述:服务名称
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RMTCS]
注册表值: "ImagePath"
类型： REG_SZ
字符串： "C:\WINDOWS\system32\rapimgr.exe"
描述:服务的映像文件的启动路径
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RMTCS]
注册表值: "Start "
类型： DWORD
值： 2
描述:服务的启动方式为自动

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
              %Windir% 　　　　　 　　　　　    WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　     逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　     系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　   当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　     当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　 　 \Documents and Settings
　　　　　　　　　　　　 　　　　　　　    \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　   系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　　


四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
       http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)   使用Atool“进程管理”关闭病毒进程
%System32%\rapimgr.exe      
%System32%\utilty.exe      
（2）  删除病毒衍生的文件
%System32%\rapimgr.exe      
%System32%\utilty.exe
（3）  删除病毒添加的注册表服务项
删除[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]下的ClientService、RMTCS服务。