Board logo

标题: 机器狗变种Trojan-Downloader.Win32.EDog.ad [打印本页]
作者: pioneer     时间: 2008-5-23 19:16    标题: 机器狗变种Trojan-Downloader.Win32.EDog.ad

病毒名称

Trojan-Downloader.Win32.EDog.ad

捕获时间

2008-05-23

病毒摘要

     该木马是使用MFC编写的可以穿透还原保护类型的下载者程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描,加壳后长度23,072字节，图标为，使用 exe扩展名，通过网页木马、其他下载器下载的方式传播，主要针对安装有还原系统的网吧进行攻击，攻击成功后自动下载多种盗号木马窃取网游玩家的用户密码信息。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、下载器下载

安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“可疑程序”，请直接选择删除处理（如图1）；





　　如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现" Trojan-Downloader.Win32.EDog.ad”，请直接选择删除（如图2）。



　　对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。

[ Last edited by pioneer on 2008-5-24 at 18:18 ]
作者: pioneer     时间: 2008-5-23 19:18
病毒分析

   样本主程序分析
动作一：
该样本程序被执行后，查找自身资源名为“65”的资源，该资源为一个动态链接库文件，读取后将其释放到%temp%目录下命名为“dat**.tmp”并加载到自身进程空间。

动作二：
提升自身进程权限为“SeDebugPrivilege”，遍历进程及其线程查找“DrvAnti.exe”，如果找到使用TerminateThread强行将其主线程结束后，查找所释放模块“dat**.tmp”资源名为“66”的资源，该资源为一个驱动文件，读取后将其释放到%temp%目录下命名为dat**.tmp；调用ZwQuerySystemInformation查询系统模块信息检索“classpnp.sys”、“stpdrive.sys”、“ntfs.sys”、“fastfat.sys”、“ntoskrnl.exe”、“NTKRNLPA.exe”、“atapi.sys”、“ntkrpamp.exe”、“ntkrnlmp.exe”并确认以上模块映像是否存在，判断系统硬件环境以及文件系统环境。

动作三：
将系统正常的“beep.sys”拷贝到“%SystemRoot%\system32\dllcache”目录下破坏其他木马在“beep.sys”这个驱动上面所做的手脚，之后将“beep”服务停止，拷贝木马所释放的驱动文件覆盖正常的“beep.sys”，调用API函数StartServiceA再次启动服务。

动作四：
获取系统目录分别查找系统文件services.exe、cdfview.dll，打开物理磁盘“\Device\Harddisk0\DR0”，读取文件检测自身是否遭到感染，如果未感染获取其物理扇区地址，通过驱动解除还原软件的Object Hook，创建文件映射在内存中将以上两文件感染，被感染文件分析见下文，感染之后恢复Object Hook，达到突破还原的目的。

动作五：
提升自身进程权限为“SeDebugPrivilege”，遍历进程查找Winlogon.exe，找到后进行注入，如果无法进行注入则注入explorer.exe进程，注入的代码被执行后载入病毒所释放的动态链接库文件，再次执行以上动作。

动作六：
读取下载列表http://z1.**-kk.net/333.txt，下载多种盗号木马到本地执行。
被感染的Services.exe分析：
小提示：Services.exe为Windows核心进程，由Winlogon.exe进程加载，用于加载并初始化Win32环境下的服务程序，并负责服务管理及其调用。

被感染的Services.exe导入表被添加一条函数“HttpUddUrl”，文件大小不变。当该文件被Winlogon.exe启动后会调用被病毒所修改“cdfview.dll”中的“HttpUddUrl”函数执行，并保持系统原有功能不变。

被感染的cdfview.dll分析：

该文件是被病毒以首字节覆盖的方式感染的，感染文件大小不变，但正常系统功能调用已经被破坏。完成功能同病毒释放的动态链接库文件，经过Upack加壳方式压缩，共导出两条函数“HttpAddUrl”、“InitHttp”：
HttpAddUrl功能同主体文件分析“动作二”开始执行
InitHttp功能同主体文件分析“动作五”开始执行



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn