木马下载者

Trojan-Downloader.Win32.Agent.a

捕获时间

2012-06-06

危害等级

中

病毒症状

    该样本是使用“C\C ”编写的“木马下载器”，由微点主动防御软件自动捕获,采用“UPX”加壳，企图避过杀软扫描，加壳后长度为“33,666”字节，图标为“”，使用“exe”扩展名，通过文件捆绑、网页挂马、下载器下载等方式进行传播。
    病毒主要目的是指引用户计算机到黑客指定的URL地址去下载更多的病毒或木马后门文件并运行。
    用户中毒后会出现电脑的运行速度变慢，杀软无故退出而不能启动，出现大量未知进程等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Trojan-Downloader.Win32.Agent.a”，请直接选择删除（如图2）。

图2   微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1.强制结束"upkookuk-ced.exe"等病毒进程。

2.手动删除以下文件：
"%SystemRoot%\system32\upkookuk-ced.exe"
"%SystemRoot%\system32\afxoroax.exe"
"%SystemRoot%\system32\ulsepop.exe"
"%AppData%\tmp7.tmp(文件名随即获取)"
"%SystemRoot%\system32\amfineac.dll"
"%AppData%\esbicux-soas.dll"

3.手动删除或修改注册表项：
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
explorer.exe"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5A472D38-3134-3344-3736-3033
4243305a}(通过计算机名生成)"
"HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\ StandardProfile\AuthorizedApplications\List\%SystemRoot%\system32\upkookuk-ced.exe"
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connection Policy\Default Flags"
"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connection Policy\Default Flags"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ SubshellState"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\{BC84DF00-BC38-9902-
8082-6FCBF2D87A0B}"

变量声明：

　　%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
　　%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
　　%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
　　%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

病毒分析：

1.调用RtlAdjustPrivilege等ntdll.dll未导出函数提升当前进程的权限。
2.比较当前文件名是否为"upkookuk-ced.exe"，如果不是创建名字为"qnd_b__-0*"的若干互斥对象，并执行步骤3、4。
3.获取系统目录，创建文件"C:\WINDOWS\system32\upkookuk-ced.exe"，将病毒文件数据全部写入到该文件，并设置文件属性为只读和存档。
4.创建新进程，执行"C:\WINDOWS\system32\upkookuk-ced.exe"，并将当前进程的启动信息传递到该进程。
5."upkookuk-ced.exe"运行之后：
（1）创建新线程，循环开辟新进程，执行"C:\WINDOWS\system32\upkookuk-ced.exe --k33p"。
（2）获取系统目录，创建文件"C:\WINDOWS\system32\afxoroax.exe"，将病毒数据写入该文件，设置属性为只读和存档。
（3）创建注册表键"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
explorer.exe"。设置键值项"Debugger"="C:\WINDOWS\system32\afxoroax.exe"，通过映像劫持实现病毒程序自启动。
（4）创建文件"C:\WINDOWS\system32\ulsepop.exe"，将病毒数据写入此文件，并设置属性为系统和隐藏。
（5）创建注册表键"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5A472D38-3134-3344-3736-3033
4243305a}(通过计算机名生成)"，设置键值项"IsInstalled"为1，设键值项"StubPath"为"C:\WINDOWS\system32\ulsepop.exe"，实现ActiveX方式自启动。
（6）删除注册表键"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{5A472D38-3134-3344-3736-3033
4243305a}"，避免只自启动一次。
（7）获取环境变量"%AppData%\"的值，创建文件"C:\Documents and Settings\Administrator\Application Data\tmp7.tmp(文件名随即获取)"，如果创建失败则在系统缓存目录创建该文件，并将病毒数据写入该文件。
（8）获取系统目录，创建文件"C:\WINDOWS\system32\amfineac.dll"，将病毒数据写入该文件，并设置属性为只读和存档。
（9）创建并遍历进程快照，创建远程线程将"C:\WINDOWS\system32\amfineac.dll"注入到"winlogon.exe"、"explorer.exe"进程。
（10）获取环境变量"%AppData%\"的值，创建文件"C:\Documents and Settings\Administrator\Application Data\esbicux-soas.dll"，如果创建失败则在系统缓存目录创建该文件，并将病毒数据写入该文件。
（11）获取系统目录，如"C:\WINDOWS\system32"，删除其中文件：
"winrnt.exe"、"rmass.exe"、"aset32.exe"、"ahuy.exe"、"idbg32.exe"、"ntdbg.exe"、 "RECOVER32.DLL"、"gymspzd.dll"。
（12）获取环境变量"%CommonProgramFiles%\System\"的值，如"C:\Program Files\Common Files\System\"，同样删除以上所有文件。
（13）获取环境变量"%AppData%\"的值，如"C:\Documents and Settings\Administrator\Application Data\ "，同样删除以上所有文件。
（14）创建注册表键"HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU"，设置键值项"NoAutoUpdate"
=0x00005e00。
（15）打开注册表键"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center"，设置键值项"AntiVirusOverride"="AntiVirusDisableNotify"="FirewallDisableNotify"="UpdatesDisableNotify"= 0x00005e00。
（16）打开注册表键"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ Parameters\FirewallPolicy\ StandardProfile\AuthorizedApplications\List"，设置键值项"C:\WINDOWS\system32\upkookuk-ced.exe"="C:\WINDOWS\system32\
upkookuk-ced.exe:*:Enabled:Windows Internet Access"，将病毒文件添加到防火墙允许列表。       
（17）创建线程，设置注册表键值项"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connection Policy\Default Flags"、"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connection Policy\Default Flags"=(二进制格式数据)。
连接到网络"http://bsl***avw.vg"、"http://69.*0.173.1*6/gdnOT2424.exe"、www.ni*he*gp.com、 "le*enz*n.nm.ru"，发送数据，下载恶意程序。
（19）创建并遍历进程快照，创建远程线程将"C:\Documents and Settings\Administrator\Application Data\esbicux-soas.dll"注入
到"explorer.exe"、"iexplore.exe"、"firefox.exe"、"mozilla.exe"、"seamonkey.exe"、"opera.exe"进程。
（20）设置键值项"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ SubshellState"=(二进制格式数据)
（21）创建注册表键"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\{BC84DF00-BC38-9902-
8082-6FCBF2D87A0B}"，设置键值项"DLLName"="C:\WINDOWS\system32\amfineac.dll"、"Startup"="Startup"，实现自启动。

病毒创建文件：

"%SystemRoot%\system32\upkookuk-ced.exe"
"%SystemRoot%\system32\afxoroax.exe"
"%SystemRoot%\system32\ulsepop.exe"
"%AppData%\tmp7.tmp(文件名随即获取)"
"%SystemRoot%\system32\amfineac.dll"
"%AppData%\esbicux-soas.dll"

病毒创建或修改注册表：

"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
explorer.exe"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5A472D38-3134-3344-3736-3033
4243305a}(通过计算机名生成)"
"HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\ StandardProfile\AuthorizedApplications\List\%SystemRoot%\system32\upkookuk-ced.exe"
"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connection Policy\Default Flags"
"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connection Policy\Default Flags"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ SubshellState"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\{BC84DF00-BC38-9902-
8082-6FCBF2D87A0B}"
               
病毒删除文件：

"%SystemRoot%\system32\winrnt.exe"
"%SystemRoot%\system32\rmass.exe"
"%SystemRoot%\system32\aset32.exe"
"%SystemRoot%\system32\ahuy.exe"
"%SystemRoot%\system32\idbg32.exe"
"%SystemRoot%\system32\ntdbg.exe"
"%SystemRoot%\system32\RECOVER32.DLL"
"%SystemRoot%\system32\gymspzd.dll"
"%CommonProgramFiles%\System\winrnt.exe"
"%CommonProgramFiles%\System\rmass.exe"
"%CommonProgramFiles%\System\aset32.exe"
"%CommonProgramFiles%\System\ahuy.exe"
"%CommonProgramFiles%\System\idbg32.exe"
"%CommonProgramFiles%\System\ntdbg.exe"
"%CommonProgramFiles%\System\RECOVER32.DLL"
"%CommonProgramFiles%\System\gymspzd.dll"
"%AppData%\winrnt.exe"
"%AppData%\rmass.exe"
"%AppData%\set32.exe"
"%AppData%\ahuy.exe"
"%AppData%\idbg32.exe"
"%AppData%\ntdbg.exe"
"%AppData%\RECOVER32.DLL"
"%AppData%\gymspzd.dll"

病毒访问网络:

"http://bsl***avw.vg"
"http://69.*0.173.1*6/gdnOT2424.exe"
"www.ni*he*gp.com"
"le*enz*n.nm.ru"