首 页  |  微点新闻  |  业界动态  |  安全资讯  |  安全快报  |  产品信息  |  网络版首页
通行证  |  客服中心  |  微点社区  |  微点邮局  |  常见问题  |  在线订购  |  各地代理商
 

下载者程序Trojan-Downloader.Win32.Small.afot
来源:  2011-04-18 12:19:51

下载者程序

Trojan-Downloader.Win32.Small.afot

捕获时间

2011-04-18

危害等级



病毒症状

  该样本是使用“VC ”编写的“下载者程序”,由微点主动防御软件自动捕获, 长度为“11,357”字节,图标为“”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是下载病毒木马。
  当用户计算机感染此木马病毒后,会出现系统无故报错,并且发现未知进程,用户电脑运行缓慢等现象.

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)


图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Downloader.Win32.Small.afot”,请直接选择删除(如图2)。


图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:

手动删除文件

%SystemRoot%\Tasks\conime.exe
%SystemDriver%\51cf6dfcb.exe
%SystemDriver%\Sha51154dow
"%temp\ThunderServices.exe
%temp\QQDownloader.exe

手动删除注册表

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
名称:Userinit
数据:C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\conime.exe

变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析:

1.获得WINDOWS目录,先建立线程函数,然后删除"C:\WINDOWS\Tasks\conime.exe"文件。
2.建立注册表信息:目的是电脑重启时,并通过其他的文件启动该文件。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
名称:Userinit
数据:C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\conime.exe
3.将病毒自身以拷贝的形式复制到"C:\WINDOWS\Tasks\conime.exe",休眠一段时间,通过外部命令启动该进程。
4.获取临时文件路径,在目录下将病毒自身以移动的形式并重新命名为" C:\Documents and Settings\当前用户名称\Local Settings\Temp \SOFTWARE.LOG ",然后退出主程序。
5.线程函数目的是:通过字符串界面处网址:"http://www.h*****kit.com/PassAntiVirus.exe",然后通过网络地址下载到用户本地机器的文件名称:"C:\\51cf6dfcb.exe",并通过外部命令以隐藏方式启动该文件。
6. 线程函数目的是:通过字符串界面处网址:" http://www.w****.gd/down.txt ",然后通过网络地址下载到用户本地机器的文件名称:"C:\Sha51154dow",并通过外部命令以隐藏方式启动该文件。
7. "C:\\51cf6dfcb.exe" ,在临时文件路径创建"%temp\ThunderServices.exe","%temp\QQDownloader.exe",并运行这些程序。
8. C:\\51cf6dfcb.exe文件通过修改注册表信息将隐藏文件不显示。

病毒创建文件:

%SystemRoot%\Tasks\conime.exe
%SystemDriver%\51cf6dfcb.exe
%SystemDriver%\Sha51154dow
"%temp\ThunderServices.exe
%temp\QQDownloader.exe

病毒创建注册表:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
名称:Userinit
数据:C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\conime.exe

病毒访问网络:

http://www.h*****kit.com/PassAntiVirus.exe
http://www.w****.gd/down.txt

免费体验
下  载
安装演示