微点交流论坛 - 病毒快报 - 木马下载器Trojan-Downloader.Win32.Agent.bpkt

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 病毒快报 » 木马下载器Trojan-Downloader.Win32.Agent.bpkt

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#1 木马下载器Trojan-Downloader.Win32.Agent.bpkt

木马下载器

Trojan-Downloader.Win32.Agent.bpkt

捕获时间

2011-01-25

危害等级

中

病毒症状

该样本是使用VC++编写的下载者程序，用UPX加壳，由微点主动防御软件自动捕获，长度为“46,080 字节”，图标为“

”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为下载恶意程序至用户主机运行。
　　用户中毒后，会出现计算机及网络运行缓慢，出现未知进程和服务，系统及网络缓慢、程序无故关闭等导致用户隐私泄露及影响用户使用的现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Trojan-Downloader.Win32.Agent.bpkt”，请直接选择删除（如图2）。

图2 微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1、手动删除以下文件：
%SystemRoot%\cctcpulus.dat
%Temp%\updata.exe
C:\WINDOWS\system32\kav.exe
2、手动删除以下注册表值：
HKEY_LOCAL_MACHINE\SOFTWARE\Internets
名称：DirectoryPath
数据：病毒原文件所在路径
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称：kav
数值：C:\WINDOWS\system32\kav.exe
3、将正常注册表值导入到以下注册表位置：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local
4、用正常文件替换以下文件：
%SystemRoot%\system32\drivers\etc\hosts

变量声明：

%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

[ Last edited by pioneer on 2011-1-25 at 10:59 ]

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2011-1-25 10:37

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#2

病毒分析

1、创建互斥体“FCAERWQ..”，防止程序多次运行；
2、创建线程，在线程里创建进程快照，遍历进程查找avp.exe进程，如果找到，会在%SystemRoot%目录下创建文件cctcpulus.dat，调用cctcpulus.dat的DVD函数，创建线程，遍历窗口查找avp.exe的窗口，结束该进程；如果没有找到，退出线程；
3、创建进程快照，遍历进程查找RavMonD.exe进程，如果没有找到，会在%Temp%目录下创建注册表HIVE文件360data.tmp,提高自身进程权限，将该HIVE文件导入为注册表项以修改本地IP安全策略。对应注册表项为：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local\，完成后删除该文件；
4、利用命令行将本地IP安全策略PolicyAgent启动方式设为自启动，然后重新启动该服务；
5、获取系统目录，创建目录%ProgramFiles%\ATI,在该目录下创建驱动安装文件amdk8.inf,以及对应驱动文件admk8.sys；
6、成功后将%ProgramFiles%\ATI\amdk8.sys复制为%SystemRoot%\system32\drivers\amdk8.sys并加载为服务项，服务项名称为“amdk8”。对应注册表项为：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\amdk8
名称：ImagePath  数值：system32\DRIVERS\amdk8.sys；
7、在%ProgramFiles%\ATI目录下创建动态库文件amdk8.dll,加载该动态库，查找avp.exe、360safebox.exe等安全软件进程，如果找到则利用驱动文件结束安全软件进程；建立映像劫持，在注册表内劫持大量安全软件主程序，使安全软件无法启动，对应注册表项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options\，完成后删除amdk8.dll、amdk8.inf、amdk8.sys；
8、建立注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Internets，名称为DirectoryPath，数据指向病毒原文件所在路径；
9、获取临时文件夹目录%Temp%，在该目录下创建文件updata.exe，然后会打开该文件；
10、updata.exe运行后，首先会创建互斥体ACDTEST......，防止程序多次运行；
11、创建注册表项HKEY_LOCAL_MACHINE\SYSTEM\
Microsoft\Windows\CurrentVersion\Run,数据指向C:\WINDOWS\system32\kav.exe，用于病毒文件的自启动；
12、update.exe会修改本地hosts文件以屏蔽安全软件网址，并连接指定网站，发送本地网卡、系统等信息到指指定网址，下载大量恶意程序到本地运行；
13、运行updata.exe后，病毒会在%Temp%目录下创建文件%Temp%\kisdat.tmp，以参数khy加载该动态库文件；
14、kisdat.tmp加载后首先会提升自身进程权限，然后在%Temp%目录下创建驱动文件DogKiller.sys，创建驱动服务项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DogKiller，服务名称为DogKiller，加载该服务项，完成后删除kisdat.tmp和DogKiller.sys；
15、比较病毒自身是否位于C:\WINDOWS\system32\kav.exe，如果不是，将自身移动为C:\WINDOWS\system32\kav.exe；

病毒创建文件：

%SystemRoot%\cctcpulus.dat
%Temp%\360data.tmp
%ProgramFiles%\admk8.inf
%ProgramFiles%\admk8.dll
%ProgramFiles%\admk8.sys
%SystemRoot%\system32\drivers\amdk8.sys
%Temp%\updata.exe
%Temp%\kisdat.tmp
%Temp%\DogKiller.sys
C:\WINDOWS\system32\kav.exe

病毒建立注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\amdk8
名称：ImagePath
数值：system32\DRIVERS\amdk8.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Internets
名称：DirectoryPath
数据：病毒原文件所在路径
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DogKiller
名称：DogKiller
数据：%Temp%\DogKiller.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称：kav
数值：C:\WINDOWS\system32\kav.exe

病毒连接网络：

http://count.***.net/mmm/count.asp
http://down.***.net/txt/mmm.txt
http://119.***.15:3721/exe/zx.exe
http://119.***.15:3721/exe/wd.exe
http://119.***.15:3721/exe/wow.exe
http://119.***.15:3721/exe/dnf.exe
http://119.***.15:3721/exe/mh.exe
http://119.***.15:3721/exe/lzg.exe
http://119.***.15:3721/exe/qqsg.exe
http://119.***.15:3721/exe/dh2.exe
http://119.***.15:3721/exe/tl.exe
http://119.***.15:3721/exe/qq.exe
http://122.***.169:3322/down/ie.exe
http://122.***.169:3322/down/59.exe

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2011-1-25 10:49

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号