盗号木马
Trojan-Dropper.Win32.Agent.arnl
捕获时间
2011-02-08
危害等级
中
病毒症状
该样本是使用“VC ”编写的盗号木马,未加壳。由微点主动防御软件自动捕获,长度为“195942 字节”,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播,病毒主要目的为盗取用户信息。
中毒后会出现安全软件退出, 用户信息被盗等现象,最终将导致虚拟财产被黑客盗取。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)
图1 微点主动防御软件自动捕获未知病毒(未升级)
如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Dropper.Win32.Agent.arnl”,请直接选择删除(如图2)。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法:
1、手动删除以下文件:
%SystemRoot%\system32\DtAbY4.pic
%Temp%\1111.JPG
C:\Windows\vbcfg.ini
删除DtAbY4.pic对应的服务项(通过DtAbY4.pic搜索注册表得到对应服务项)
%Temp%\DtAbY4.pic
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
病毒分析
1、%Temp%目录下创建 nsf5.tmp文件来验证病毒的可执行环境。
2、%Temp%目录下创建1111.jpg图片,并打开显示。
3、%Temp%目录下创建QQ360SD.exe并动态释放PE代码。填充无效字节后执行。
4、退出自身。
5、%ProgramFiles%\Common Files目录下创建ArSwp3.exe并动态释放PE代码。填充无效字节后执行。
6、创建互斥体“QQQQQQQ******”(QQQQQQQ开头名字随机)避免程序重复运行。
7、ArSwp3.exe运行之后查找金山卫士KsafeTray.exe,发现提升自身特权级到(SeDebugPrivilege)后关闭金山卫士进程。
8、枚举进程查找360安全卫士和QQ安全软件,发现后停止对应的服务。
9、创建C:\ACC.exe并伪造为腾讯数字签名,创建C:\Factory.dll并伪造为东方微点文件。
10、创建C:\Windows\vbcfg.ini并写入服务装载配置信息。服务文件为ArSwp3.exe。服务名:7KmjQ4Ml(随机)
11、创建%SystemRoot%\SYSTEM32\DtAbY4.pic文件。
12、创建服务b7HU50hm(随机名),并根据vbcfg.ini配置信息配置此服务项各各键值。使得DtAbY4.pic成为服务随计算机自启动。
13、启动b7HU50hm服务并删除ArSwp3.exe自身文件。
14、b7HU50hm服务运行时检测360sd.exe,KSafe.exe,Knsd.exe,DSMain.exe,360Safe.exe,QQPCTray.exe,发现后通过作业绑定方式结束相 关进程。复制自身到%Temp%目录下。
15、创建如下注册表项:
HKEY_LOCAL_MACHINE\SOFTWARE\Win
HKEY_LOCAL_MACHINE\SOFTWARE\Win\DComLaunch
HKEY_LOCAL_MACHINE\SOFTWARE\Win\HTTPFilter
HKEY_LOCAL_MACHINE\SOFTWARE\Win\LocalService
HKEY_LOCAL_MACHINE\SOFTWARE\Win\netsvcs
HKEY_LOCAL_MACHINE\SOFTWARE\Win\PCHealth
HKEY_LOCAL_MACHINE\SOFTWARE\Win\termsvcs
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\MediaResources\msvideo
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MN2YLK9P
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MN2YLK9P\0000
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MN2YLK9P\0000\Control
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mN2YLk9P
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mN2YLk9P\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mN2YLk9P\Security
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\mN2YLk9P\Enum
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\X55jJJ2O
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\X55jJJ2O\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\MediaResources\msvideo
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MN2YLK9P
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MN2YLK9P\0000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MN2YLK9P\0000\Control
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mN2YLk9P
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mN2YLk9P\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mN2YLk9P\Security
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mN2YLk9P\Enum
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\X55jJJ2O
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\X55jJJ2O\Parameters
病毒创建文件:
%Temp%\nsf5.tmp
%Temp%\1111.JPG
%Temp%\QQ360SD.exe
%ProgramFiles%\Common Files\ArSwp3.exe
C:\ACC.exe
C:\Factory.dll
%SystemRoot%\system32\DtAbY4.pic
C:\Windows\vbcfg.ini
%Temp%\DtAbY4.pic
病毒删除文件:
%Temp%\nsf5.tmp
%Temp%\QQ360SD.exe
%ProgramFiles%\Common Files\ArSwp3.exe
C:\ACC.exe
C:\Factory.dll