捕获时间
2009-1-1
病毒摘要
该样本是使用“vc”编写的木马程序,由微点主动防御软件自动捕获,采用“upack”加壳方式,企图躲过特征码扫描,长度为“39,252 字节”,图标为“”,病毒扩展名为“exe”,主要通过“网页挂马”、“文件捆绑”、“诱骗用户点击”等方式传播,病毒主要目的通过多种手段赚取广告流量。
感染对象
windows 2000/windows xp/windows 2003
传播途径
网页木马、文件捆绑、诱骗用户点击
防范措施
已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”,请直接选择删除处理(如图1);
图1 微点主动防御软件自动捕获未知病毒(未升级)
如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"trojan.win32.agent.abxz”,请直接选择删除(如图2)。
图2 微点主动防御软件升级后截获已知病毒
对于未使用微点主动防御软件的用户,微点反病毒专家建议:
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取yb亚博全站首页的技术支持。
3、开启windows自动更新,及时打好漏洞补丁。
病毒分析
该样本程序被执行后,将遍历进程,查找是否存在“avp.exe”,若存在则释放批处理文件“gokaba.bat”至“%systemroot%\system32”文件夹,修改系统时间至“1987年10月18日”,批处理内容如下:
|
@echo off
set date=趖e%
date 1987-10-18
ping -n 45 localhost > nul
date 趖e%
del %0 |
|
样本将利用批处理“ping -n 45 localhost > nul” 达到延时目的,延时完成后系统时间将被调回正常。期间将复制自身至“%systemroot%\system32”文件夹,重命名为“a135ded4.exe”,复制自身至“%systemroot%\system32”文件夹,重命名为“a135ded4t.exe”,修改注册表,将“a135ded4.exe”设置为服务,相关注册表项如下:
|
键:“[hkey_local_machine\system\currentcontrolset\services\a135ded4]”
值:“type”
数据:“service_win32_own_process”
值:“start”
数据:“service_auto_start”
值:“imagepath”
数据:“c:\windows\system32\a135ded4.exe –service”
值:“displayname”
数据:“a135ded4” |
|
完成后样本将以参数“–service”启动“a135ded4.exe”,删除“gokaba.bat”,并生成批处理“delme.bet”实现自删除,相关批处理如下:
|
@echo off
:selfkill
del /f /q "c:\sample.exe"
exist "c:\sample.exe" goto selfkill
del %0 |
|
“a135ded4.exe”启动后将生成动态库文件“a135ded4.dll”至文件夹“%systemroot%\system32”,申请空间将动态库文件“a135ded4.dll”注入至“winlogon.exe”并启动一线程。
“winlogon.exe” 将申请空间将动态库文件“a135ded4.dll”注入至“explorer.exe”并启动一线程。访问网址:“http://www.zh****u8.com/chajian/update.txt”下载升级程序。
病毒将锁定ieyb体育官方主页,弹出各类广告窗口,劫持百度搜索引擎,实用户点击搜索结果时跳转至黑客指定的广告页面,并以隐藏方式安装“alexa工具条”,遍历qq、淘宝旺旺、msn等聊天软件窗口,利用模拟点击方式发送广告信息,使用户主机不断出现广告,运行缓慢。
|