Trojan.Win32.Agent.ksq分析

Trojan.Win32.Agent.ksq分析
一、 病毒标签：
病毒名称： Trojan.Win32.Agent.ksq
病毒类型： 木马
文件 MD5： 2B6D4988F6EE560E6B55C2E0F60B9EDC
公开范围： 完全公开
危害等级： 5
文件长度： 10,920 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++

二、 病毒描述：
        此病毒为一个多线程病毒，病毒运行后，获得当前文件路径和系统%Temp%路径，判断当前运行文件是否是” %HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\explorer.exe”若不是则复制原病毒文件到”C:\Documents and Settings\All Users\「开始」菜单\程序\启动”目录内，命名为explorer.exe并创建新线程运行程序；若是则建立新线程运行文件。病毒衍生文件、创建启动项、连接网络下载文件、利用bat文件自删除。

三、 行为分析：
本地行为：
1、        病毒衍生文件到目录：
%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\explorer.exe                                                                                                           10,920 字节
内，使程序能随系统启动而运行。用explorer.exe做文件名来迷惑用户。

2、注册服务
[HKLM\System\CurrentControlSet\Services]
注册表值: "IIS Manager "
类型： REG_SZ
值： "c:\documents and settings\qiuniao\local settings\temp\1.tmp "
此服务启动后，文件即被删除。

[HKLM\System\CurrentControlSet\Services]
注册表值: "extrem.sys"
类型： REG_SZ
值： " C:\DOCUME~1\qiuniao\LOCALS~1\Temp\extrem.sys "（找不到文件）
[HKLM\System\CurrentControlSet\Services]
注册表值: "rdtsc"
类型： REG_SZ
值： "C:\DOCUME~1\qiuniao\LOCALS~1\Temp\rdtsc"（找不到文件）
3、        病毒创建bat文件删除自身
病毒在%HomeDrive%创建文件_uninsep.bat。次文件循环查看病毒运行目录当遇到病毒
文件时将其删除。
文件内容如下：
:Repeat
del "C:\Documents and Settings\qiuniao\桌面\dumped_.exe"
if exist "C:\Documents and Settings\qiuniao\桌面\dumped_.exe" goto Repeat
其中C:\Documents and Settings\qiuniao\桌面\dumped_.exe为病毒原文件。
网络行为:　　

病毒访问网络：
协议：TCP/IP
地址：www.lwe****.cn（218.61.17.***）
端口：80
行为：GET /pao.txt
返回信息：
HTTP/1.0 502 Bad Gateway
Server: squid/2.6.STABLE21
Date: Mon, 08 Sep 2008 02:59:01 GMT
Content-Type: text/html
Content-Length: 1101
Expires: Mon, 08 Sep 2008 02:59:01 GMT
X-Squid-Error: ERR_READ_ERROR 54
X-Cache: MISS from localhost
Connection: close


注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。
　　　　%Windir%                                                WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　         逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　         系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　        当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　        \Documents and Settings
                                                                            \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　系统的 System32文件夹
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　　

四、 清除方案：
1、使用安天防线2008可彻底清除此病毒(推荐)。
请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
推荐使用ATool（安天安全管理工具），ATool下载地址:www.antiy.com或
http://www.antiy.com/download/index.htm 。
(1)使用安天木马防线或ATool中的“进程管理”结束病毒进程：
进程命为explorer.exe,映像路径为：%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\
(2打开注册表编辑器删除以下注册表键值：
[HKLM\System\CurrentControlSet\Services]
注册表值: "IIS Manager "
类型： REG_SZ
值： "c:\documents and settings\qiuniao\local settings\temp\1.tmp "
[HKLM\System\CurrentControlSet\Services]
注册表值: "extrem.sys"
类型： REG_SZ
值： " C:\DOCUME~1\qiuniao\LOCALS~1\Temp\extrem.sys "（找不到文件）
[HKLM\System\CurrentControlSet\Services]
注册表值: "rdtsc"
类型： REG_SZ
值： "C:\DOCUME~1\qiuniao\LOCALS~1\Temp\rdtsc"（找不到文件）
3、删除病毒的衍生文件：
%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\explorer.exe                                                                                                           10,920 字节
%HomeDrive%\_uninsep.bat                        文件大小与病毒文件名及路径有关