东方微点-yb体育官方

  yb体育官方  
yb体育官方-yb亚博全站首页  |  微点新闻  |  业界动态  |  安全资讯  |   |   |  网络版yb亚博全站首页
 |   |   |   |   |   |  各地代理商
 

木马下载器trojan-downloader.win32.agent.albj
来源:  2008-12-22 17:01:31



捕获时间

2008-12-22

病毒摘要

该样本是使用“”编写的木马下载器,由微点主动防御软件自动捕获,未加壳,长度为“”,图标为“”,病毒扩展名为“exe”,主要通过“网页木马”、“局域网感染”、“漏洞利用”、“文件捆绑”等方式传播,最终目的是下载大量各类木马至本地运行,实现各类网游盗号、设立后门等操作,使用户利益受到损害。



感染对象


windows 2000/windows xp/windows 2003

传播途径

网页木马、文件捆绑

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”,请直接选择删除处理(如图1);


          图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"trojan-downloader.win32.agent.albj”,请直接选择删除(如图2)。


          图2   微点主动防御软件升级后截获已知病毒



对于未使用微点主动防御软件的用户,微点反病毒专家建议
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取yb亚博全站首页的技术支持。
3、开启windows自动更新,及时打好漏洞补丁。

病毒分析

  该样本程序被执行后,首先将进行防调试判断,遍历ollyice.exe、ollydbg.exe、importrec.exe、c32asm.exe、lordpe.exe、peditor.exe等调试软件进程,若遍历获得,则停止一切操作,进程退出。
  成功执行后,样本将在系统文件夹“%temp%”下释放动态库文件“dll171.dll”,该动态库文件的命名特点是三位数字为随机,在“%systemroot%\system32”文件夹下释放驱动文件“nskhelper2.sys”,将“nskhelper2.sys”注册为名为“nsdlrk250”的服务,相关注册表项如下:

 
  项:“hkey_local_machine\system\currentcontrolset\services\nsdlrk250”
  键:“type”
  数据:“service kernel driver”
  键:“start”
  数据:“service demand start”
  键:“imagepath”
  数据:“\??\c:\windows\system32\nskhelper2.sys”
  键:“displayname”
  数据:“nsdlrk250”


  启动“svchost.exe”,在其中划出一块内存空间,将“dll171.dll”注入其中,启动多个线程共同操作。修改注册表,将下列安全及辅助工具进程映像劫持,指向“svchost.exe”。

  360safe.exe
  360safebox.exe
  360tray.exe
  ackwin32.exe
  anti-trojan.exe
  anti.exe
  antivir.exe
  apvxdwin.exe
  atrack.exe
  autodown.exe
  avconsol.exe
  ave32.exe
  avgctrl.exe
  avk.exe
  avkserv.exe
  avp.exe
  avpupd.exe
  avsched32.exe
  avsynmgr.exe
  avwin95.exe
  avxonsol.exe
  blackd.exe
  blackice.exe
  ccenter.exe
  cfiadmin.exe
  cfiaudit.exe
  cfind.exe
  cfinet.exe
  cfinet32.exe
  claw95.exe
  claw95ct.exe
  cleaner.exe
  cleaner3.exe
  davpfw.exe
  dbg.exe
  debu.exe
  dv95.exe
  dv95_o.exe
  dvp95.exe
  ecengine.exe
  efinet32.exe
  esafe.exe
  espwatch.exe
  explorewclass.exe
  f-agnt95.exe
  f-prot.exe
  f-prot95.exe
  f-stopw.exe
  findviru.exe
  fir.exe
  fp-win.exe
  frw.exe
  iamapp.exe
  iamserv.exe
  ibmasn.exe
  ibmavsp.exe
  ice.exe
  icesword.exe
  icload95.exe
  icloadnt.exe
  icmoon.exe
  icssuppnt.exe
  iom.exe
  iomon98.exe
  jed.exe
  kabackreport.exe
  kasmain.exe
  kav32.exe
  kavstart.exe
  kissvc.exe
  kpfw32.exe
  kpfwsvc.exe
  kppmain.exe
  krf.exe
  kvmonxp.exe
  kvprescan.exe
  kwatch.exe
  lamapp.exe
  lockdown2000.exe
  lookout.exe
  luall.exe
  lucomserver.exe
  mcafee.exe
  microsoft.exe
  mon.exe
  moniker.exe
  moolive.exe
  mpftray.exe
  ms.exe
  n32acan.exe
  navapsvc.exe
  navapw32.exe
  navlu32.exe
  navnt.exe
  navrunr.exe
  navsched.exe
  navw.exe
  navw32.exe
  navwnt.exe
  nisserv.exe
  nisum.exe
  nmain.exe
  normist.exe
  norton.exe
  nupgrade.exe
  nvc95.exe
  office.exe
  outpost.exe
  padmin.exe
  pavcl.exe
  pcc.exe
  pccclient.exe
  pccguide.exe
  pcciomon.exe
  pccmain.exe
  pccwin98.exe
  pcfwallicon.exe
  persfw.exe
  pop3trap.exe
  ppppwallrun.exe
  program.exe
  prot.exe
  pview95.exe
  ras.exe
  rav.exe
  rav7.exe
  rav7win.exe
  ravmon.exe
  ravmond.exe
  ravstub.exe
  ravtask.exe
  regedit.exe
  rescue32.exe
  rfw.exe
  rn.exe
  safeboxtray.exe
  safeweb.exe
  scam32.exe
  scan.exe
  scan32.exe
  scanpm.exe
  scon.exe
  scrscan.exe
  secu.exe
  serv95.exe
  sirc32.exe
  smc.exe
  smtpsvc.exe
  sphinx.exe
  spy.exe
  sweep95.exe
  symproxysvc.exe
  tbscan.exe
  tca.exe
  tds2-98.exe
  tds2-nt.exe
  tmntsrv.exe
  tmoagent.exe
  tmproxy.exe
  tmupdito.exe
  tsc.exe
  ulibcfg.exe
  vavrunr.exe
  vet95.exe
  vettray.exe
  vir.exe
  vpc32.exe
  vsecomr.exe
  vshwin32.exe
  vsscan40
  vsstat.exe
  webscan.exe
  webscanx.exe
  webtrap.exe
  wfindv32.exe
  windows优化大师.exe
  wink.exe
  zonealarm.exe

        生成随机名批处理文件“11677265.bat”,实现自删除,批处理如下:

 
  :repeat
  del /f "c:\sample.exe"
  if exist "c:\sample.exe" goto repeat
  del /f "c:\docume~1\admini~1\locals~1\temp\11677265.bat"


  驱动文件“nskhelper2.sys”加载后,将恢复系统ssdt表,使部分安全软件主动防御功能失效,并关闭指定杀毒软件进程。
  被注入后的“svchost.exe”将在各本地磁盘根目录生成“autorun.inf”配置文件与“dll171.dll”相同的数据文件“system.dll”,使用户打开磁盘后通过rundll32.exe加载“system.dll”;“autorun.inf”内容如下:

 
[autorun]
shell\open\command=rundll32 system.dll,explore
shell\explore\command=rundll32 system.dll,explore


  修改“%systemroot%\system32\drivers\etc”文件夹下的“hosts”文件,将以下安全厂商站点指向“127.0.0.1”,host文件如下:

127.0.0.1 www.360.cn
127.0.0.1 www.360safe.cn
127.0.0.1 www.360safe.com
127.0.0.1 www.chinakv.com
127.0.0.1 www.rising.com.cn
127.0.0.1 rising.com.cn
127.0.0.1 dl.jiangmin.com
127.0.0.1 jiangmin.com
127.0.0.1 www.jiangmin.com
127.0.0.1 www.duba.net
127.0.0.1 www.eset.com.cn
127.0.0.1 www.nod32.com
127.0.0.1 shadu.duba.net
127.0.0.1 union.kingsoft.com
127.0.0.1 www.kaspersky.com.cn
127.0.0.1 kaspersky.com.cn
127.0.0.1 virustotal.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.cnnod32.cn
127.0.0.1 www.lanniao.org
127.0.0.1 www.nod32club.com
127.0.0.1 www.dswlab.com
127.0.0.1 bbs.sucop.com
127.0.0.1 www.virustotal.com
127.0.0.1 tool.ikaka.com
127.0.0.1 360.qihoo.com

  访问网络,下载“http://vvv.ccc***bbb.cn/number/list.txt”,存储至“%temp%”文件夹,重命名为随机文件名,读取文件列表,下载后运行,其中包含了大量盗号木马,文件列表如下:

 
http://**114.r**g360.mo.cn/xiaozi111/1.exe
http://**114.r**g360.mo.cn/xiaozi111/5.exe
http://**114.r**g360.mo.cn/xiaozi111/6.exe
http://**114.r**g360.mo.cn/xiaozi111/7.exe
http://**114.r**g360.mo.cn/xiaozi111/8.exe
http://**114.r**g360.mo.cn/xiaozi111/9.exe
http://**114.r**g360.mo.cn/xiaozi111/10.exe
http://**114.r**g360.mo.cn/xiaozi111/11.exe
http://**114.r**g360.mo.cn/xiaozi111/12.exe
http://**114.r**g360.mo.cn/xiaozi111/13.exe
http://**114.r**g360.mo.cn/xiaozi111/14.exe
http://**114.r**g360.mo.cn/xiaozi111/15.exe
http://**114.r**g360.mo.cn/xiaozi111/16.exe
http://**114.r**g360.mo.cn/xiaozi111/17.exe
http://**114.r**g360.mo.cn/xiaozi111/18.exe
http://**114.r**g360.mo.cn/xiaozi111/19.exe
http://**114.r**g360.mo.cn/xiaozi111/20.exe
http://**114.r**g360.mo.cn/xiaozi111/21.exe
http://**114.r**g360.mo.cn/xiaozi111/22.exe
http://**114.r**g360.mo.cn/xiaozi111/23.exe
http://**114.r**g360.mo.cn/xiaozi111/24.exe
http://**114.r**g360.mo.cn/xiaozi111/25.exe
http://**114.r**g360.mo.cn/xiaozi111/26.exe
http://**114.r**g360.mo.cn/xiaozi111/27.exe
http://**114.r**g360.mo.cn/xiaozi111/28.exe
http://**114.r**g360.mo.cn/xiaozi111/29.exe
http://**114.r**g360.mo.cn/xiaozi111/30.exe
http://**86.r**g360.mo.cn/31.exe
http://**86.r**g360.mo.cn/32.exe
http://**86.r**g360.mo.cn/33.exe
http://**86.r**g360.mo.cn/34.exe
http://**86.r**g360.mo.cn/35.exe
http://**86.r**g360.mo.cn/45.exe
http://**86.r**g360.mo.cn/46.exe
http://**86.r**g360.mo.cn/47.exe
http://**86.r**g360.mo.cn/48.exe
http://**86.r**g360.mo.cn/49.exe
http://**86.r**g360.mo.cn/50.exe
http://**86.r**g360.mo.cn/51.exe
http://**86.r**g360.mo.cn/52.exe


  连接网络,访问网络“www.***.com/count.asp”,按照格式“mac=*&os=*&ver=*&temp=*&key=*”,上传本机网卡mac地址,操作系统及其版本等信息进行感染统计。
  若连接超时,病毒将尝试访问备用地址:“chike01.****.org/1.txt”下载病毒列表,访问:“chike01.****.org/1/count.asp”上传统计信息。
  在系统目录“%systemroot%\system32”生成“appwinproc.dll”, “appwinproc.dll”加载后,将进行辅助关闭安全软件进程的工作。
  根据机器狗读写物理磁盘原理,在“%systemroot%\system32\”文件夹下生成五个驱动文件“nspass0.sys”、“ nspass1.sys”、“ nspass2.sys”、“ nspass3.sys”、“ nspass4.sys”。分别针对“%systemroot%\system32\”文件夹下的“schedsvc.dll”、 “appmgmts.dll”、 “srsvc.dll”、 “w32time.dll”、 “wiaservc.dll”五个文件进行改写,在头部加入“dll375.dll”的代码,使以上文件相对应的系统服务 “task scheduler”、 “application management”、“system restore service”、 “windows time” 、“windows image acquisition ”启动时一同启动病毒。
  病毒还将尝试扫描本机网段内的其他机器,扫描成功后将在“%temp%”文件夹内生成一个随机文件名的动态库文件,使用“rundll32.exe”将其加载,利用近期爆出的“ms-08067”漏洞,尝试溢出局域网其他计算机,进行病毒传播。

免费体验
下  载

网站地图