rootkit后门程序
rootkit.win32.agent.fdo
捕获时间
2010-12-22
危害等级
中
病毒症状
该样本是使用“c/c ”编写的木马程序，由微点主动防御软件自动捕获，采用"upack"加壳方式试图躲避特征码扫描,加壳后长度为“37,063”字节，图标为“”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的是控制用户机器。
用户中毒后，会出现系统运行缓慢、存在大量未知可疑进程、杀软失效或无法运行、系统重要资料丢失等现象。
感染对象
windows 2000/windows xp/windows 2003/windows vista/ windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"rootkit.win32.agent.fdo”，请直接选择删除（如图2）。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法：
1.手动删除以下文件，并清空临时文件夹：
%programfiles%\atxi\one.dll
%systemroot%\system32\drivers\one.sys
%systemroot%\\system32\regedit.exe
%systemroot%\system32\s9375812.exe(随机命名)
2.删除以下注册表项:
hklm\system\currentcontrolset\services\one\
名称：imagepath
数据：system32\drivers\one.sys
hklm\system\currentcontrolset\services\pcidump
名称：imagepath
数据：system32\drivers\pcidump.sys
hklm\software\microsoft\windows\currentversion\run\
名称：kav
数据：c:\windows\system32\regedit32.exe
3.删除对安全软件的映像劫持注册表子项，对应以下注册表项：
hklm\software\microsoft\windows nt\currentversion\image file execution options
4.用正常host文件替换感染病毒之后的本机host文件。
变量声明：
%systemdriver% 系统所在分区，通常为“c:\”
%systemroot% windodws所在目录，通常为“c:\windows”
%documents and settings% 用户文档目录，通常为“c:\documents and settings”
%temp% 临时文件夹，通常为“c:\documents and settings\当前用户名称\local settings\temp”
%programfiles% 系统程序默认安装目录，通常为：“c:\programfiles”
病毒分析
1.样本运行后，创建名为"tadf..."的互斥体防止程序重复运行。
2.创建线程，线程开始开启后枚举窗体，若找到进程为"avp.exe"、"kavstart.exe"(杀软进程)的窗口，则自身创建类名为"wcn321"的窗口，并将此窗口设置成杀软窗口的父进程，然后销毁"wcn321"窗口，达到关闭杀软窗口的目的。
3.创建进程快照，查找"ekrn.exe"、"egui.exe"（杀软进程）进程，若找到则尝试通过命令行方式停止、删除杀软所注册的服务，并结束杀软进程。
4.将自身进程提升到sedebugprivilege权限。
5.创建目录%programfiles%\atxi，并在此目录下释放文件驱动文件one.sys及驱动配置安装文件one.inf，安装配置文件one.inf,以显示名为"one"的服务项加载one.sys驱动，对应以下注册表项目:
hklm\system\currentcontrolset\services\one\
名称：imagepath
数据：system32\drivers\one.sys
6.one.sys驱动加载后，修改系统服务描述表，用以对抗杀软主动防御。
7.释放动态链接库one.dll文件到%programfiles%\atxi目录下，并加载该动态链接库，调用其导出函数"testall"。该函数创建系统快照查找进程avp.exe，若找到则试图打开该进程，并尝试卸载该进程中的安全模块。之后用命令行的方式停止、删除avp.exe(杀软进程)注册的服务项，并结束该进程。
8.删除%programfiles%\atxi文件夹下的one.sys及驱动配置文件one.inf文件。
9.释放文件s9375812.exe(随机命名)到%systemroot%\system32目录下，并运行该文件。
10.释放文件驱动文件pcidump.sys到%systemroot%\system32\drivers\文件加下，注册显示名为"pcidump"的系统服务，用以加载该驱动，对应以下注册表项:
hklm\system\currentcontrolset\services\pcidump
名称：imagepath
数据：system32\drivers\pcidump.sys
11.驱动pcidump.sys加载后，对常见杀软建立映像劫持，指向svchost.exe文件，对应以下注册表项:
hklm\software\microsoft\windows nt\currentversion\image file execution options
12.删除驱动pcidump.sys，然后将自身移动到%systemroot%\\system32\目录下，更名为regedit.exe，在临时目录下建立k211.bat(随机命名)批处理，运行批处理，删除样本自身及批处理文件k211.bat。
13.s9375812.exe运行后，创建名为"xettett......"的互斥体对象，防止重复运行，并将自身进程提权到"sedebugprivilege"权限。
14.之后将系统文件wininet.dll复制到%temp%文件夹下更名为"ope3.tmp"(随机命名)，然后加载该动态链接库，获取"internetopena"系列函数用以连接网络。
15.修改注册表项目，达到regedit.exe病毒文件的开机运行，对应以下注册表项：
hklm\software\microsoft\windows\currentversion\run\
名称：kav
数据：c:\windows\system32\regedit32.exe
16.创建线程，连接黑客指定网址，并发送本机mac地址，以便统计病毒感染量，修改本机host文件，屏蔽对一些安全网站的访问。
17.等待黑客命令，受黑客控制，用户电脑沦为傀儡。
病毒创建文件：
%programfiles%\atxi\one.sys
%systemroot%\system32\drivers\one.sys
%programfiles%\atxi\one.inf
%programfiles%\atxi\one.dll
%systemroot%\system32\drivers\pcidump.sys
%systemroot%\\system32\regedit.exe
%systemroot%\system32\s9375812.exe(随机命名)
%temp%\k211.bat(随机命名)
%temp%\ope3.tmp(随机命名)
病毒删除文件：
%programfiles%\atxi\one.sys
%programfiles%\atxi\one.inf
%systemroot%\system32\drivers\pcidump.sys
%temp%\k211.bat(随机命名)
病毒修改注册表：
hklm\system\currentcontrolset\services\one\
名称：imagepath
数据：system32\drivers\one.sys
hklm\system\currentcontrolset\services\pcidump
名称：imagepath
数据：system32\drivers\pcidump.sys
hklm\software\microsoft\windows\currentversion\run\
名称：kav
数据：c:\windows\system32\regedit32.exe
hklm\software\microsoft\windows nt\currentversion\image file execution options
病毒访问网络：
http://bb.zh***b.com:81/co***.asp
