首 页  |  微点新闻  |  业界动态  |  安全资讯  |  安全快报  |  产品信息  |  网络版首页
通行证  |  客服中心  |  微点社区  |  微点邮局  |  常见问题  |  在线订购  |  各地代理商
 

木马下载器Trojan-Downloader.Win32.Agent.bpkt
来源:  2011-01-25 10:54:03

木马下载器

Trojan-Downloader.Win32.Agent.bpkt

捕获时间

2011-01-25

危害等级



病毒症状

  该样本是使用VC 编写的下载者程序,用UPX加壳,由微点主动防御软件自动捕获,长度为“46,080 字节”,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播,病毒主要目的为下载恶意程序至用户主机运行。
  用户中毒后,会出现计算机及网络运行缓慢,出现未知进程和服务,系统及网络缓慢、程序无故关闭等导致用户隐私泄露及影响用户使用的现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)

 

图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Downloader.Win32.Agent.bpkt”,请直接选择删除(如图2)。

 

图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:

1、手动删除以下文件:
%SystemRoot%\cctcpulus.dat
%Temp%\updata.exe
C:\WINDOWS\system32\kav.exe
2、手动删除以下注册表值:
HKEY_LOCAL_MACHINE\SOFTWARE\Internets
名称:DirectoryPath  
数据:病毒原文件所在路径
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:kav
数值:C:\WINDOWS\system32\kav.exe
3、将正常注册表值导入到以下注册表位置:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
4、用正常文件替换以下文件:
%SystemRoot%\system32\drivers\etc\hosts

变量声明:

%SystemDriver%       系统所在分区,通常为“C:\”
%SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
%Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析

1、创建互斥体“FCAERWQ..”,防止程序多次运行;
2、创建线程,在线程里创建进程快照,遍历进程查找avp.exe进程,如果找到,会在%SystemRoot%目录下创建文件cctcpulus.dat,调用cctcpulus.dat的DVD函数,创建线程,遍历窗口查找avp.exe的窗口,结束该进程;如果没有找到,退出线程;
3、创建进程快照 ,遍历进程查找RavMonD.exe进程,如果没有找到,会在%Temp%目录下创建注册表HIVE文件360data.tmp,提高自身进程权限,将该HIVE文件导入为注册表项以修改本地IP安全策略。对应注册表项为:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\,完成后删除该文件;
4、利用命令行将本地IP安全策略PolicyAgent启动方式设为自启动,然后重新启动该服务;
5、获取系统目录,创建目录%ProgramFiles%\ATI,在该目录下创建驱动安装文件amdk8.inf,以及对应驱动文件admk8.sys;
6、成功后将%ProgramFiles%\ATI\amdk8.sys复制为%SystemRoot%\system32\drivers\amdk8.sys并加载为服务项,服务项名称为“amdk8”。对应注册表项为:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\amdk8
名称:ImagePath  数值:system32\DRIVERS\amdk8.sys;
7、在%ProgramFiles%\ATI目录下创建动态库文件amdk8.dll,加载该动态库,查找avp.exe、360safebox.exe等安全软件进程,如果找到则利用驱动文件结束安全软件进程;建立映像劫持,在注册表内劫持大量安全软件主程序,使安全软件无法启动,对应注册表项:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options\,完成后删除amdk8.dll、amdk8.inf、amdk8.sys;
8、建立注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Internets,名称为DirectoryPath,数据指向病毒原文件所在路径;
9、获取临时文件夹目录%Temp%,在该目录下创建文件updata.exe,然后会打开该文件;
10、updata.exe运行后,首先会创建互斥体ACDTEST......,防止程序多次运行;
11、创建注册表项HKEY_LOCAL_MACHINE\SYSTEM\
Microsoft\Windows\CurrentVersion\Run,数据指向C:\WINDOWS\system32\kav.exe,用于病毒文件的自启动;
12、update.exe会修改本地hosts文件以屏蔽安全软件网址,并连接指定网站,发送本地网卡、系统等信息到指指定网址,下载大量恶意程序到本地运行;
13、运行updata.exe后,病毒会在%Temp%目录下创建文件%Temp%\kisdat.tmp,以参数khy加载该动态库文件;
14、kisdat.tmp加载后首先会提升自身进程权限,然后在%Temp%目录下创建驱动文件DogKiller.sys,创建驱动服务项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DogKiller,服务名称为DogKiller,加载该服务项,完成后删除kisdat.tmp和DogKiller.sys;
15、比较病毒自身是否位于C:\WINDOWS\system32\kav.exe,如果不是,将自身移动为C:\WINDOWS\system32\kav.exe;

病毒创建文件:

%SystemRoot%\cctcpulus.dat
%Temp%\360data.tmp
%ProgramFiles%\admk8.inf
%ProgramFiles%\admk8.dll
%ProgramFiles%\admk8.sys
%SystemRoot%\system32\drivers\amdk8.sys
%Temp%\updata.exe
%Temp%\kisdat.tmp
%Temp%\DogKiller.sys
C:\WINDOWS\system32\kav.exe

病毒建立注册表:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\amdk8
名称:ImagePath  
数值:system32\DRIVERS\amdk8.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Internets
名称:DirectoryPath  
数据:病毒原文件所在路径
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DogKiller
名称:DogKiller
数据:%Temp%\DogKiller.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:kav
数值:C:\WINDOWS\system32\kav.exe

病毒连接网络:

http://count.***.net/mmm/count.asp
http://down.***.net/txt/mmm.txt
http://119.***.15:3721/exe/zx.exe
http://119.***.15:3721/exe/wd.exe
http://119.***.15:3721/exe/wow.exe
http://119.***.15:3721/exe/dnf.exe
http://119.***.15:3721/exe/mh.exe
http://119.***.15:3721/exe/lzg.exe
http://119.***.15:3721/exe/qqsg.exe
http://119.***.15:3721/exe/dh2.exe
http://119.***.15:3721/exe/tl.exe
http://119.***.15:3721/exe/qq.exe
http://122.***.169:3322/down/ie.exe
http://122.***.169:3322/down/59.exe

相关主题:
没有相关主题

免费体验
下  载
安装演示