捕获时间
2008-12-10
病毒摘要
该样本是使用“Delphi”编写的木马下载器程序，由微点主动防御软件自动捕获，采用“Upack”加壳方式试图躲避特征码扫描,加壳后长度为“38,968字节”，图标为“ ”，使用“exe”扩展名，通过“网页木马”、“文件捆绑”途径植入用户计算机，运行后联网下载其他木马到本地运行。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；
图1 主动防御自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-Downloader.Win32.KillAV.e”，请直接选择删除（如图2）。
图2 升级后截获已知病毒
对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。
病毒分析
该样本程序被执行后，拷贝自身到系统目录%SystemRoot%\system\下，名称为“llwzjy081130.exe”，并释放“mvjaj32dla.dll”文件。
遍历枚举下列进程名，一旦发现尝试使用“ntsd -c q –p pid”命令关闭进程：
| |
RUNIEP.exe
KRegEx.exe
KVXP.kxp
360tray.exe
RSTray.exe
QQDoctor.exe
DrRtp.exe |
|
添加如下相关注册表项实现自身随机启动：
| |
项：HKLM\ Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\run
键：dlnajjbdfa
指向数据：%SystemRoot%\system\llwzjy081130.exe |
|
修改下列的注册表键值实现去除显示隐藏文件，企图隐藏木马：
| |
项：HKLM\ Software \Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder
\Hidden\SHOWALL
键：CheckedValue
指向数据：0 |
|
在注册表HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下添加下列子项,达到劫持指定安全软件的目的：
| |
子项名：
360rpt.exe
DrRtp.exe
QQDoctor.exe
键值均为：debugger
数据均指向：%SystemRoot%\system32\svchost.exe |
|
创建含木马信息的配置文件到%ALLUSERSPROFILE%\目录下，名称为“jjjydf16.ini”，内容如下：
| |
[mydown]
old_exe=
old_dll32=
ver=081130
fnexe=C:\WINDOWS\system\llwzjy081130.exe
reg_start=dlnajjbdfa
fn_dll=C:\WINDOWS\system\mvjaj32dla.dll
[kill]
window=33343939393132313738313233303835232429
[run]
delay=90
pzjg=180
xxjg=10 |
|
隐藏方式调用“IEXPLORE.EXE”进程，并向其进程空间注入“mvjaj32dla.dll”文件，等待联网状态访问下列木马列表网址下载木马，下载后自动调用运行：
| |
| http://www.380vip.cn/**/mydown.asp?ver=081130&tgid=032&address=00-**-29-**-DA-87 |
|
网址内容如下：
| |
begin
1,081120,10241,,90,0,180,1,10,17,1,0,1,1
7,
2,1,77312,http://www.180vip.cn/**/706.exe,0,0-24,,
2,1,32768,http://www.180vip.cn/**/12.exe,0,0-24,,
2,1,90151,http://www.180vip.cn/**/45.exe,0,0-24,,
2,1,70308,http://www.180vip.cn/**/11.exe,0,0-24,,
2,1,37888,http://www.180vip.cn/**/37.exe,0,0-24,,
2,1,56320,http://www.180vip.cn/**/1180.exe,0,0-24,,
2,1,17441,http://www.180vip.cn/**/ys.exe,0,0-24,,
2,1,17973,http://www.180vip.cn/**/mh.exe,0,0-24,,
2,1,16325,http://www.180vip.cn/**/wd.exe,0,0-24,,
2,1,18597,http://www.180vip.cn/**/ms.exe,0,0-24,,
2,1,73188,http://www.180vip.cn/**/9517.exe,0,0-24,,
2,1,86088,http://www.180vip.cn/**/cj.exe,0,0-24,,
9,http://,1,1,1,2,2
end |
|
隐藏方式调用下列命令实现自身删除：
| |
| cmd /c del "c:\sample.exe" |
|
|
