木马下载器
trojan-downloader.win32.agent.bpkt
捕获时间
2011-01-25
危害等级
中
病毒症状
该样本是使用vc 编写的下载者程序，用upx加壳，由微点主动防御软件自动捕获，长度为“46,080 字节”，图标为“”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为下载恶意程序至用户主机运行。
用户中毒后，会出现计算机及网络运行缓慢，出现未知进程和服务，系统及网络缓慢、程序无故关闭等导致用户隐私泄露及影响用户使用的现象。
感染对象
windows 2000/windows xp/windows 2003/windows vista/ windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"trojan-downloader.win32.agent.bpkt”，请直接选择删除（如图2）。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法：
1、手动删除以下文件：
%systemroot%\cctcpulus.dat
%temp%\updata.exe
c:\windows\system32\kav.exe
2、手动删除以下注册表值：
hkey_local_machine\software\internets
名称：directorypath
数据：病毒原文件所在路径
hkey_local_machine\software\microsoft\windows\currentversion\run
名称：kav
数值：c:\windows\system32\kav.exe
3、将正常注册表值导入到以下注册表位置：
hkey_local_machine\software\policies\microsoft\windows\ipsec\policy\local
4、用正常文件替换以下文件：
%systemroot%\system32\drivers\etc\hosts
变量声明：
%systemdriver% 系统所在分区，通常为“c:\”
%systemroot% windodws所在目录，通常为“c:\windows”
%documents and settings% 用户文档目录，通常为“c:\documents and settings”
%temp% 临时文件夹，通常为“c:\documents and settings\当前用户名称\local settings\temp”
%programfiles% 系统程序默认安装目录，通常为：“c:\programfiles”
病毒分析
1、创建互斥体“fcaerwq..”，防止程序多次运行；
2、创建线程，在线程里创建进程快照，遍历进程查找avp.exe进程，如果找到，会在%systemroot%目录下创建文件cctcpulus.dat，调用cctcpulus.dat的dvd函数，创建线程，遍历窗口查找avp.exe的窗口，结束该进程；如果没有找到，退出线程；
3、创建进程快照 ，遍历进程查找ravmond.exe进程，如果没有找到，会在%temp%目录下创建注册表hive文件360data.tmp,提高自身进程权限，将该hive文件导入为注册表项以修改本地ip安全策略。对应注册表项为：
hkey_local_machine\software\policies\microsoft\windows\ipsec\policy\local\，完成后删除该文件；
4、利用命令行将本地ip安全策略policyagent启动方式设为自启动，然后重新启动该服务；
5、获取系统目录，创建目录%programfiles%\ati,在该目录下创建驱动安装文件amdk8.inf,以及对应驱动文件admk8.sys；
6、成功后将%programfiles%\ati\amdk8.sys复制为%systemroot%\system32\drivers\amdk8.sys并加载为服务项，服务项名称为“amdk8”。对应注册表项为：
hkey_local_machine\system\currentcontrolset\services\amdk8
名称：imagepath 数值：system32\drivers\amdk8.sys；
7、在%programfiles%\ati目录下创建动态库文件amdk8.dll,加载该动态库，查找avp.exe、360safebox.exe等安全软件进程，如果找到则利用驱动文件结束安全软件进程；建立映像劫持，在注册表内劫持大量安全软件主程序，使安全软件无法启动，对应注册表项：hkey_local_machine\software\microsoft\windowsnt\currentversion\image file execution options\，完成后删除amdk8.dll、amdk8.inf、amdk8.sys；
8、建立注册表项hkey_local_machine\software\internets，名称为directorypath，数据指向病毒原文件所在路径；
9、获取临时文件夹目录%temp%，在该目录下创建文件updata.exe，然后会打开该文件；
10、updata.exe运行后，首先会创建互斥体acdtest......，防止程序多次运行；
11、创建注册表项hkey_local_machine\system\
microsoft\windows\currentversion\run,数据指向c:\windows\system32\kav.exe，用于病毒文件的自启动；
12、update.exe会修改本地hosts文件以屏蔽安全软件网址，并连接指定网站，发送本地网卡、系统等信息到指指定网址，下载大量恶意程序到本地运行；
13、运行updata.exe后，病毒会在%temp%目录下创建文件%temp%\kisdat.tmp，以参数khy加载该动态库文件；
14、kisdat.tmp加载后首先会提升自身进程权限，然后在%temp%目录下创建驱动文件dogkiller.sys，创建驱动服务项hkey_local_machine\system\currentcontrolset\services\dogkiller，服务名称为dogkiller，加载该服务项，完成后删除kisdat.tmp和dogkiller.sys；
15、比较病毒自身是否位于c:\windows\system32\kav.exe，如果不是，将自身移动为c:\windows\system32\kav.exe；
病毒创建文件：
%systemroot%\cctcpulus.dat
%temp%\360data.tmp
%programfiles%\admk8.inf
%programfiles%\admk8.dll
%programfiles%\admk8.sys
%systemroot%\system32\drivers\amdk8.sys
%temp%\updata.exe
%temp%\kisdat.tmp
%temp%\dogkiller.sys
c:\windows\system32\kav.exe
病毒建立注册表：
hkey_local_machine\system\currentcontrolset\services\amdk8
名称：imagepath
数值：system32\drivers\amdk8.sys
hkey_local_machine\software\internets
名称：directorypath
数据：病毒原文件所在路径
hkey_local_machine\system\currentcontrolset\services\dogkiller
名称：dogkiller
数据：%temp%\dogkiller.sys
hkey_local_machine\software\microsoft\windows\currentversion\run
名称：kav
数值：c:\windows\system32\kav.exe
病毒连接网络：
http://count.***.net/mmm/count.asp
http://down.***.net/txt/mmm.txt
http://119.***.15:3721/exe/zx.exe
http://119.***.15:3721/exe/wd.exe
http://119.***.15:3721/exe/wow.exe
http://119.***.15:3721/exe/dnf.exe
http://119.***.15:3721/exe/mh.exe
http://119.***.15:3721/exe/lzg.exe
http://119.***.15:3721/exe/qqsg.exe
http://119.***.15:3721/exe/dh2.exe
http://119.***.15:3721/exe/tl.exe
http://119.***.15:3721/exe/qq.exe
http://122.***.169:3322/down/ie.exe
http://122.***.169:3322/down/59.exe
