Trojan/Win32.Flux.fm[Downloader]分析

一、 病毒标签：
病毒名称： Trojan/Win32.Flux.fm[Downloader]
病毒类型： 木马
文件 MD5： 92631C0AD84D048838FA923DADB9E4BD
公开范围： 完全公开
危害等级： 4
文件长度： 19,581 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： Upack

二、 病毒描述：
该恶意代码文件为伪杀毒软件，病毒运行后重复调用sprintf无用API函数,干扰安全软件对其查杀，创建一个线程枚举含有"KAVStart"标题的窗口，找到之后发送WM_COMMAND MENU/BN_CLICKED消息，并试图关闭TOOLTIPS_CLASS32工具条，查找标题为"金山毒霸"的窗口，并找到类名为Button的按钮窗口为 “是(&Y)”的窗口找到之后发送WM_LBUTTONDOWN模拟点击消息，这样目的是通过安全软件的主动提示放行病毒运行，遍历进程查找AVP.EXE进程找到之后获取系统当前时间比较是不是2005年如果是就不修改系统时间，如果不是则将系统当前时间修改为2005年，设置完毕之后等待20秒之后继续执行病毒代码，将自身以随机病毒名方式拷贝到%System32%目录下，添加注册表病毒服务启动项，在%DriveLetter%下添加autorun.inf使用户双击打开病毒文件。

三、 行为分析：
本地行为:
1、衍生相同文件到以下目录分别命名为
%System32%\91E80A00.EXE
%System32%\B1537A3C.DLL
%System32%\F51590EC.EXE
%System32%\57FC5FC0.DLL
%DriveLetter%\auto.exe
%DriveLetter%\autorun.inf       

2、调用sprintf无用API函数,干扰安全软件对其查杀，创建一个线程枚举含有"KAVStart"标题的窗口，找到之后发送WM_COMMAND MENU/BN_CLICKED消息，并试图关闭TOOLTIPS_CLASS32工具条，查找标题为"金山毒霸"的窗口，并找到类名为Button的按钮窗口为 “是(&Y)”的窗口找到之后发送WM_LBUTTONDOWN模拟点击消息，这样目的是通过安全软件的主动提示放行病毒运行，遍历进程查找AVP.EXE进程找到之后获取系统当前时间比较是不是2005年如果是就不修改系统时间，如果不是则将系统当前时间修改为2005年，设置完毕之后等待20秒之后继续执行病毒代码。

4、添加注册表服务启动项
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\77F5402C\Description
值: 字符串: "B1537A3C"
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\77F5402C\DisplayName
值: 字符串: "77F5402C"
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\77F5402C\ImagePath
值: 字符串: "%System32%\91E80A00.EXE -k"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\77F5402C\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\77F5402C\Type
值: DWORD: 16 (0x10)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\77F5402C\Description
值: 字符串: "B1537A3C"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\77F5402C\DisplayName
值: 字符串: "77F5402C"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\77F5402C\ImagePath
值: 字符串: "%System32%\91E80A00.EXE -k"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\77F5402C\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\77F5402C\Type
值: DWORD: 16 (0x10)

HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\A5DB9AF8\Description
值: 字符串: "57FC5FC0"
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\A5DB9AF8\DisplayName
值: 字符串: "A5DB9AF8"
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\A5DB9AF8\ImagePath
值: 字符串: "%System32%\F51590EC.EXE -d"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\A5DB9AF8\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\A5DB9AF8\Type
值: DWORD: 16 (0x10)

HKEY_CURRENT_USER\SYSTEM\ControlSet001\Services\A5DB9AF8\Description
值: 字符串: "57FC5FC0"
HKEY_CURRENT_USER\SYSTEM\ControlSet001\Services\A5DB9AF8\DisplayName
值: 字符串: "A5DB9AF8"
HKEY_CURRENT_USER\SYSTEM\ControlSet001\Services\A5DB9AF8\ImagePath
值: 字符串: "%System32%\F51590EC.EXE -d"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\A5DB9AF8\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\A5DB9AF8\Type
值: DWORD: 16 (0x10)

网络行为:
病毒试图连接以下网络下载文件：
http://139.9***.com/e//update.txt
http://google.net***.com/cao/cao.exe
连接以上网址下载病毒文件

向以下网址发送33150字节空请求DDOS攻击
http://www.95***.com/Default.asp
http://www.80m***.com/pkqjlogo.gif

连接以下网址发送安装统计信息：
http://ww.caoq****.cn:8881/count//active.asp?mac=00-0C-29-8C-9D-B6&ver=2008091022&ipname=A-738DF22C9CA04&os=2&mem=128&cpu=31&cpustr=%20%20%20%20%20%20%20%20%20%20%20%20%20%20Intel(R)%20Pentium(R)%204%20CPU%202.80GHz

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　　


四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1） 重启计算机，F8进入安全模式下
（2） 强行删除病毒文件
%System32%\91E80A00.EXE
%System32%\B1537A3C.DLL
%System32%\F51590EC.EXE
%System32%\57FC5FC0.DLL
%DriveLetter%\auto.exe
%DriveLetter%\autorun.inf
（3）  删除病毒添加的注册表
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\77F5402C
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\77F5402C
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\A5DB9AF8
HKEY_CURRENT_USER\SYSTEM\ControlSet001\Services\A5DB9AF8
分别删除以上Services键值下的随机8位数键值