Board logo

标题: 恶意程序Malware.Win32.Warning.a [打印本页]
作者: pioneer     时间: 2008-7-7 16:21    标题: 恶意程序Malware.Win32.Warning.a

Malware.Win32.Warning.a

捕获时间

2008-07-07

病毒摘要

该程序是使用Delphi编写的恶意程序，由微点主动防御软件自动捕获，采用加壳方式试图躲避特征码扫描,加壳后长度为109,056字节，图标为
，病毒扩展名为exe，主要通过网页木马、文件捆绑的方式传播，病毒主要欺骗用户并下载其他病毒程序。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑

安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；




　 如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Malware.Win32.Warning.a”，请直接选择删除（如图2）。




    对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。

[ Last edited by pioneer on 2008-7-14 at 09:31 ]
作者: pioneer     时间: 2008-7-7 16:23
病毒分析

该样本程序被执行后，创建名为“{A56DECD8-1102-49e9-BFD5-17FBE35197F2}”的互斥体对象，防止系统中有多个病毒进程同时存在；拷贝自身到%SystemRoot%\system32目录下，重命名为lphc9f7j0en15.exe，在该目录下释放图片文件phc9f7j0en15.bmp；

修改如下注册表键值实现如下目的：修改桌面背景为蓝色、将墙纸显示方式设为居中显示、设置当前墙纸为图片文件phc9f7j0en15.bmp
屏蔽背景选项卡、将病毒程序设为开机自启动；使用API函数SystemParametersInfoW更新如上这些配置信息；

  Quote:
项：HKCU\Control Panel\Colors\
键值：Background
指向数据：0 0 255

项：HKCU\Control Panel\Desktop\
键值：WallpaperStyle
指向数据：0

项：HKCU\Control Panel\Desktop\
键值：TileWallpaper
指向数据：0

项：HKCU\Control Panel\Desktop\
键值：Wallpaper
指向数据：%SystemRoot%\system32\phc9f7j0en15.bmp

项：HKCU\Control Panel\Desktop\
键值：OriginalWallpaper
指向数据：%SystemRoot%\system32\phc9f7j0en15.bmp

项：HKCU\Control Panel\Desktop\
键值：ConvertedWallpaper
指向数据：%SystemRoot%\system32\phc9f7j0en15.bmp

项：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\
键值：NoDispBackgroundPage
指向数据：01

项：HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
键值：lphc9f7j0en15
指向数据：%SystemRoot%\system32\lphc9f7j0en15.exe

在%SystemRoot%\system32目录下释放蓝屏屏幕保护程序blphc9f7j0en15.scr；修改如下注册表键值实现如下目的：将屏幕保护程序的运行文件设为blphc9f7j0en15.scr、开启屏幕保护功能、间隔600s运行屏幕保护程序、屏蔽屏保选项卡；使用相关API函数运行该屏保程序；该程序运行后会显示蓝屏间隔一段时间后会有重新启动计算机的现象，病毒以此来迷惑用户；检测网络连通情况，如果连通则访问恶意网站下载其他病毒程序并运行。

  Quote:
项：HKCU\Control Panel\Desktop\
键值：SCRNSAVE.EXE
指向数据：%SystemRoot%\system32\blphc9f7j0en15.scr

项：HKCU\Control Panel\Desktop\
键值：ScreenSaveActive
指向数据：1

项：HKCU\Control Panel\Desktop\
键值：ScreenSaveTimeOut
指向数据：600

项：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\
键值：NoDispScrSavPage
指向数据：01

[ Last edited by pioneer on 2008-7-7 at 16:33 ]



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn