盗号木马
trojan-dropper.win32.agent.arnl
捕获时间
2011-02-08
危害等级
中
病毒症状
该样本是使用“vc ”编写的盗号木马，未加壳。由微点主动防御软件自动捕获，长度为“195942 字节”，图标为“”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为盗取用户信息。
中毒后会出现安全软件退出， 用户信息被盗等现象，最终将导致虚拟财产被黑客盗取。
感染对象
windows 2000/windows xp/windows 2003/windows vista/ windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"trojan-dropper.win32.agent.arnl”，请直接选择删除（如图2）。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法：
1、手动删除以下文件：
%systemroot%\system32\dtaby4.pic
%temp%\1111.jpg
c：\windows\vbcfg.ini
删除dtaby4.pic对应的服务项（通过dtaby4.pic搜索注册表得到对应服务项）
%temp%\dtaby4.pic
变量声明：
%systemdriver% 系统所在分区，通常为“c:\”
%systemroot% windodws所在目录，通常为“c:\windows”
%documents and settings% 用户文档目录，通常为“c:\documents and settings”
%temp% 临时文件夹，通常为“c:\documents and settings\当前用户名称\local settings\temp”
%programfiles% 系统程序默认安装目录，通常为：“c:\programfiles”
病毒分析
1、%temp%目录下创建 nsf5.tmp文件来验证病毒的可执行环境。
2、%temp%目录下创建1111.jpg图片，并打开显示。
3、%temp%目录下创建qq360sd.exe并动态释放pe代码。填充无效字节后执行。
4、退出自身。
5、%programfiles%\common files目录下创建arswp3.exe并动态释放pe代码。填充无效字节后执行。
6、创建互斥体“qqqqqqq******”（qqqqqqq开头名字随机）避免程序重复运行。
7、arswp3.exe运行之后查找金山卫士ksafetray.exe,发现提升自身特权级到（sedebugprivilege）后关闭金山卫士进程。
8、枚举进程查找360安全卫士和qq安全软件，发现后停止对应的服务。
9、创建c:\acc.exe并伪造为腾讯数字签名,创建c:\factory.dll并伪造为东方微点文件。
10、创建c：\windows\vbcfg.ini并写入服务装载配置信息。服务文件为arswp3.exe。服务名：7kmjq4ml（随机）
11、创建%systemroot%\system32\dtaby4.pic文件。
12、创建服务b7hu50hm(随机名)，并根据vbcfg.ini配置信息配置此服务项各各键值。使得dtaby4.pic成为服务随计算机自启动。
13、启动b7hu50hm服务并删除arswp3.exe自身文件。
14、b7hu50hm服务运行时检测360sd.exe，ksafe.exe,knsd.exe,dsmain.exe，360safe.exe,qqpctray.exe,发现后通过作业绑定方式结束相 关进程。复制自身到%temp%目录下。
15、创建如下注册表项：
hkey_local_machine\software\win
hkey_local_machine\software\win\dcomlaunch
hkey_local_machine\software\win\httpfilter
hkey_local_machine\software\win\localservice
hkey_local_machine\software\win\netsvcs
hkey_local_machine\software\win\pchealth
hkey_local_machine\software\win\termsvcs
hkey_local_machine\system\controlset001\control\mediaresources\msvideo
hkey_local_machine\system\controlset001\enum\root\legacy_mn2ylk9p
hkey_local_machine\system\controlset001\enum\root\legacy_mn2ylk9p\0000
hkey_local_machine\system\controlset001\enum\root\legacy_mn2ylk9p\0000\control
hkey_local_machine\system\controlset001\services\mn2ylk9p
hkey_local_machine\system\controlset001\services\mn2ylk9p\parameters
hkey_local_machine\system\controlset001\services\mn2ylk9p\security
hkey_local_machine\system\controlset001\services\mn2ylk9p\enum
hkey_local_machine\system\controlset001\services\x55jjj2o
hkey_local_machine\system\controlset001\services\x55jjj2o\parameters
hkey_local_machine\system\currentcontrolset\control\mediaresources\msvideo
hkey_local_machine\system\currentcontrolset\enum\root\legacy_mn2ylk9p
hkey_local_machine\system\currentcontrolset\enum\root\legacy_mn2ylk9p\0000
hkey_local_machine\system\currentcontrolset\enum\root\legacy_mn2ylk9p\0000\control
hkey_local_machine\system\currentcontrolset\services\mn2ylk9p
hkey_local_machine\system\currentcontrolset\services\mn2ylk9p\parameters
hkey_local_machine\system\currentcontrolset\services\mn2ylk9p\security
hkey_local_machine\system\currentcontrolset\services\mn2ylk9p\enum
hkey_local_machine\system\currentcontrolset\services\x55jjj2o
hkey_local_machine\system\currentcontrolset\services\x55jjj2o\parameters
病毒创建文件：
%temp%\nsf5.tmp
%temp%\1111.jpg
%temp%\qq360sd.exe
%programfiles%\common files\arswp3.exe
c:\acc.exe
c:\factory.dll
%systemroot%\system32\dtaby4.pic
c：\windows\vbcfg.ini
%temp%\dtaby4.pic
病毒删除文件：
%temp%\nsf5.tmp
%temp%\qq360sd.exe
%programfiles%\common files\arswp3.exe
c:\acc.exe
c:\factory.dll
