Trojan-Downloader.Win32.Agent.qpv.gif分析

一、 病毒标签：
病毒名称： Trojan-Downloader.Win32.Agent.qpv.gif
病毒类型： 木马下载器
文件 MD5： 0BCB2187B2E0EDCF88EC0CACFFF15E05
公开范围： 完全公开
危害等级： 4
文件长度： 9,728 字节
感染系统： Windows98以上版本
开发工具： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo

二、 病毒描述：
该病毒为下载者木马类，病毒运行后调用CreateMutexA函数创建互病毒斥量：__DL_CORE4GA_MUTEX__，目的防止多次运行，调用API获取系统文件夹路径，
衍生病毒文件到%Windir%\AppPatch目录下，重命名为Jview.dll与AcXtrnel.dll，并添加注册表启动项，创建rundll32.exe使该进程加载病毒DLL文件，连接网络下载
大量恶意病毒文件到本地执行，经分析下载的大量病毒为盗号木马类，给用户清理造成及大的不便。

三、 行为分析：
本地行为：
1、文件运行后会释放以下文件：
%Windir%\AppPatch\Jview.dll                           13,824 字节
%Windir%\AppPatch \AcXtrnel.dll                        9,216 字节
2、添加注册表病毒启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
新建键值: "@"
类型： REG_SZ
字符串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加注册表项，以达到随机启动的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
新建键值: "ThreadingModel"
类型： REG_SZ
字符串： “Apartment”
描述: 注册CLSID值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
新建键值: "JavaView"
类型： REG_SZ
字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”
3、创建rundll32.exe使该进程加载病毒DLL文件。
4、连接网络读取列表下载大量恶意病毒文件到本地执行。

网络行为：
协议：TCP
端口：53
连接服务器名：http://ad.updat****.us/ads.jpg
IP地址：125.83.89.62
描述：连接服务器读取TXT列表内容下载病毒，读取的列表内容：
              http://125.83.89.**:53/10.gif
　　　　http://125.83.89.**:53/11.gif
　　　　http://125.83.89.**:53/12.gif
　　　　http://125.83.89.**:53/13.gif
　　　　http://125.83.89.**:53/14.gif
　　　　http://125.83.89.**:53/15.gif
　　　　http://125.83.89.**:53/16.gif
　　　　http://125.83.89.**:53/17.gif
　　　　http://125.83.89.**:53/18.gif
　　　　http://125.83.89.**:53/19.gif
　　　　http://125.83.89.**:53/2.gif
　　　　http://125.83.89.**:53/20.gif
　　　　http://125.83.89.**:53/3.gif
　　　　http://125.83.89.**:53/4.gif
　　　　http://125.83.89.**:53/5.gif
　　　　http://125.83.89.**:53/6.gif
　　　　http://125.83.89.**:53/7.gif
　　　　http://125.83.89.**:53/8.gif
　　　　http://125.83.89.**:53/9.gif
　　　　http://abc.updat****.cn/21.gif
　　　　http://abc.updat****.cn/22.gif
　　　　http://abc.updat****.cn/23.gif
　　　　http://abc.updat****.cn/24.gif
　　　　http://abc.updat****.cn/25.gif
　　　　http://abc.updat****.cn/26.gif
　　　　http://abc.updat****.cn/27.gif
　　　　http://abc.updat****.cn/28.gif
　　　　http://abc.updat****.cn/29.gif
　　　　http://abc.updat****.cn/30.gif
　　　　http://abc.updat****.cn/31.gif
　　　　http://abc.updat****.cn/32.gif
　　　　http://abc.updat****.cn/33.gif
　　　　http://abc.updat****.cn/34.gif
　　　　http://abc.updat****.cn/35.gif

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
   %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　　

四、 清除方案：
1、使用安天防线2008可彻底清除此病毒(推荐)。
       请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
        （1） 使用ATOOL“进程管理”找到rundll32.exe进程结束该进程
        （2） 强行删除病毒文件
           %Windir%\AppPatch\Jview.dll                 
           %Windir%\AppPatch \AcXtrnel.dll
        （3）  删除病毒服务注册表项
            [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
            新建键值: "@"
            类型： REG_SZ
            字符串： “C:\WINDOWS\AppPatch\Jview.dll”
            描述: 添加注册表项，以达到随机启动的目的
            [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
            新建键值: "ThreadingModel"
            类型： REG_SZ
            字符串： “Apartment”
            描述: 注册CLSID值
            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
            新建键值: "JavaView"
            类型： REG_SZ
            字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”

[ 本帖最后由 flyleaf 于 2008-6-25 16:09 编辑 ]