捕获时间

2009-2-20

病毒摘要

        该样本是使用“VC”编写的蠕虫程序，由微点主动防御软件自动捕获，采用“WinUpack”加壳方式，企图躲避特征码扫描，加壳后长度为“26,856 字节”，图标为“”，病毒扩展名为“exe”，主要通过“网页挂马”、“文件捆绑”、“下载器下载”、“移动存储介质”等方式传播，病毒主要目的为下载大量病毒木马至用户主机运行。
        用户中毒后，会发现系统运行及网络响应缓慢，无法进入系统安全模式，大量安全软件无法正常运行，各本地磁盘根目录与可移动磁盘发现Autorun.ini与ZTZ.PIF文件。




感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页挂马、文件捆绑、下载器下载、移动存储介质

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；

          图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Worm.Win32.AutoRun.kqk”，请直接选择删除（如图2）。

          图2   微点主动防御软件升级后截获已知病毒

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
4、开启windows自动更新，及时打好漏洞补丁。


未安装微点主动防御软件的手动解决办法：

1、手动删除以下文件：
　　%SystemRoot%\system32\dllcache\linkinfo.dll
　　%SystemRoot%\system32\sbbsk.ini,
　　%Program Files%\bccd.pif
2、手动删除以下注册表值：
　　键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
　　值：全部
　　键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\naks
　　键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\fangdapp
3、修改下列注册表项修改为以下值：
　　键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
　　值：CheckedValue
　　数据：1
　　键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
　　值：PendingFileRenameOperations
　　数据：空
3、修复安全模式。


变量声明：

%SystemDriver%　　　　　　　　　系统所在分区，通常为“C:\”
%SystemRoot%　　　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings%　　　　用户文档目录，通常为“C:\Documents and Settings”
%Temp%　　　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%　　　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

病毒分析

（1）、申请内存空间，启动线程，注入CMD.exe，利用CMD.exe加载动态库；
（2）、注入rundll32.exe，利用rundll32.exe加载动态库；
（3）、尝试关闭各类安全软件；
（4）、修改注册表，映像劫持各类安全软件，均指向“%SystemRoot%\system32\dllcache\spoolsv.exe”；
（5）、修改注册表，破坏系统安全模式；
（6）、修改注册表，删除常见安全软件启动项；
（7）、释放驱动，恢复SSDT表；
（8）、注入net1.exe，利用net1.exe检测服务；
（9）、注入sc.exe，利用sc.exe删除部分安全软件服务；
（10）、设立Autorun.ini至各本地磁盘与可移动磁盘；
（11）、连接网络，下载自身升级文件并执行；
（12）、下载病毒列表，读取后下载病毒并执行；
　　
　　病毒创建文件：
　　
　　%Program Files%\avpp.pif
　　%SystemDriver%\Runt.dll
　　%SystemRoot%\system32\dllcache\linkinfo.dll
　　%SystemRoot%\Fonts\fangdapp.sys
　　%SystemRoot%\system32\sbbsk.ini,
　　%Program Files%\bccd.pif
　　%SystemRoot%\Fonts\naks.sys
　　
　　在本地磁盘和可移动磁盘根目录生成以下文件：
　　AUTORUN.INF
　　ZTZ.PIF
　　
　　
　　病毒修改文件：
　　
　　%SystemRoot%\system32\mfc71.dll
　　
　　病毒删除文件：
　　
　　%Program Files%\avpp.pif
　　%SystemDriver%\Runt.dll
　　%SystemRoot%\Fonts\fangdapp.sys
　　%SystemRoot%\Fonts\naks.sys
　　
　　病毒创建注册表：
　　
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\naks
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\fangdapp
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safe.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safebox.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ANTIARP.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ArSwp.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ast.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AutoRun.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AutoRunKiller.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.com
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AVP.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Frameworkservice.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GFUpd.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GuardField.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASARP.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kav32.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kavstart.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kissvc.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kmailmon.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPfwSvc.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonxp.kxp
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVWSC.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kwatch.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Mmsk.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapsvc.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Nod32kui.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RAV.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ravservice.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RAVTRAY.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Regedit.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwmain.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rfwstub.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rsaupd.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsMain.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rsnetsvr.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RSTray.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Runiep.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ScanFrm.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREngLdr.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPC32.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VPTRAY.exe
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WOPTILITIES.exe
　　
　　病毒修改注册表：
　　
　　键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
　　值：PendingFileRenameOperations
　　数据：\??\C:\Sample.exe
　　键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
　　值：CheckedValue
　　数据：2
　　
　　病毒删除注册表：
　　
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\360Safetray
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\360Safebox
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KavStart
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vptray
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ccApp
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTray
　　
　　病毒创建进程：
　　
　　%Program Files%\avpp.pif
　　
　　病毒访问网络：
　　
　　http://m.w**8.com/dd/x.gif
　　http://m.w**8.com/tt.txt
　　http://d.w**8.com/dd/1.exe
　　http://d.w**8.com/dd/2.exe
　　http://d.w**8.com/dd/6.exe
　　http://d.w**8.com/dd/9.exe
　　http://d.w**8.com/dd/10.exe