标题: 木马下载器Worm.Win32.Downloader.ama [打印本页]

---

作者: pioneer     时间: 2008-7-11 17:44    标题: 木马下载器Worm.Win32.Downloader.ama

Worm.Win32.Downloader.ama

捕获时间

2008-07-11

病毒摘要

该样本是使用Delphi编写的蠕虫程序，由微点主动防御软件自动捕获，采用NSpack加壳方式试图躲避特征码扫描,加壳后长度为30,511字节，无图标，病毒扩展名为exe，主要通过网页木马、文件捆绑、移动存储介质的方式传播，病毒主要下载其他病毒程序。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑、移动存储介质

安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；




　 如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Worm.Win32.Downloader.ama”，请直接选择删除（如图2）。




    对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
4、开启windows自动更新，及时打好漏洞补丁。

[ Last edited by pioneer on 2008-7-14 at 09:23 ]

---

作者: pioneer     时间: 2008-7-11 17:45
该样本程序被执行后，创建名为“systembest”的互斥体对象，防止系统中有多个病毒进程同时存在；遍历进程查找360Safe.exe、360tray.exe将其关闭；以命令行的方式每隔200ms关闭服务：McShield、KWhatchsvc、KPfwSvc、Symantec AntiVirus、Symantec AntiVirus Drivers Services、Symantec AntiVirus Definition Watcher、McAfee Framework 服务、McAfee Framework Service、Network Associates McShield、Network Associates Task Manager、Norton AntiVirus Server；修改当前系统时间使部分杀毒软件不能正常使用；遍历进程查找系统中是否存在avp.exe，如果存在则在%SystemRoot%\system32目录下释放病毒程序ns151.pif，并使用API函数WinExec运行该病毒程序；遍历进程查找部分安全软件进程将其关闭；使用API函数DeleteFileA将病毒文件ns151.pif删除；将%SystemRoot%\system32\urlmon.dll拷贝到自身目录下，重命名为MFCN4213e.DLL；以命令行的方式修改如下文件访问控制表使everyone用户对这些文件有完全控制权限，为被下载样本进行ARP攻击提前做准备；
packet.dll、pthreadVC.dll、wpcap.dll、npf.sys、npptools.dll、acpidisk.sys、wanpacket.dll、C:\Documents and Settings\All Users\「开始」菜单\程序\启动

拷贝自身到%SystemRoot%\system32目录下，分别重命名为wauc11.exe、explorer.exe；枚举盘符在各分区和移动存储介质中释放隐藏病毒文件MSDSOD.PIF和autorun.inf，使用Windows自动播放功能来传播病毒；

autorun.inf文件内容如下：
[autorun]
shell\open=打开(&O)
shell\open\Command=MSDSOD.PIF
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\command=MSDSOD.PIF

开启IEXPLORE.EXE进程，查找窗口类名为IEFrame的窗口，申请内存空间将病毒部分代码写入，使用远程线程激活病毒代码实现代码注入躲避常规杀毒软件的查杀，并访问恶意网站下载其他病毒程序并运行；修改如下注册表健值以实现开机自启动、隐藏病毒文件的目的；删除安全模式对应的注册表健值，使用户不能通过安全模式修复系统；
项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
健值：IEXPLORER
指向数据：%SystemRoot%\system32\explorer.exe

Quote:

项：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\advanced\folder\hidden\showall\ 健值：CheckedValue 指向数据：00 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}

使用映像劫持手段劫持如下程序，重定向这些程序到病毒拷贝%SystemRoot%\system32\wauc11.exe；
360rpt.EXE、360safe.EXE、360tray.EXE、AVP.EXE、AvMonitor.EXE、CCenter.EXE、IceSword.EXE、Iparmor.EXE、KVMonxp.kxp、KVSrvXP.EXE、KVWSC.EXE、Navapsvc.EXE、Nod32kui.EXE、KRegEx.EXE、Frameworkservice.EXE、Mmsk.EXE、Wuauclt.EXE、Ast.EXE、WOPTILITIES.EXE、Regedit.EXE、AutoRunKiller.EXE、VPC32.EXE、VPTRAY.EXE、ANTIARP.EXE、KASARP.EXE、~.EXE、RAS.EXE、Runiep.EXE、GuardField.EXE、GFUpd.EXE、kavstart.EXE、kmailmon.EXE、kwatch.EXE、rfwmain.EXE、rfwproxy.EXE、rfwsrv.EXE、KAVStart.EXE、RavUpdate.EXE、PFW.EXE

ns151.pif运行后，使用相关API函数关闭服务beep，将%SystemRoot%\system32\drivers\beep.sys读到内存中，替换系统驱动程序beep.sys为病毒驱动程序，启动服务beep，之后用内存中系统原有驱动程序副本替换病毒驱动程序使用户不易察觉，病毒驱动的作用是：恢复SSDT，使杀毒软件的监控失效.

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn