微点交流论坛

标题: 木马下载器Trojan-Downloader.Win32.ACVE.nk [打印本页]

作者: pioneer 时间: 2008-12-28 20:50 标题: 木马下载器Trojan-Downloader.Win32.ACVE.nk

Trojan-Downloader.Win32.ACVE.nk

捕获时间

2008-12-28

病毒摘要

该样本是使用“VC”编写的盗号木马，由微点主动防御软件自动捕获，采用“UPX”加壳方式试图躲避特征码扫描,加壳后长度为“25,088 字节”，图标为“

”，病毒扩展名为“exe”，主要通过“网页木马”、“文件捆绑”的方式传播，病毒主要目的为下载大量病毒程序至用户主机。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-Downloader.Win32.ACVE.nk”，请直接选择删除（如图2）。

图2 微点主动防御软件升级后截获已知病毒

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。

[ Last edited by pioneer on 2008-12-28 at 20:54 ]

作者: pioneer 时间: 2008-12-28 20:53
病毒分析

　　该样本程序被执行后，在“%SystemRoot%\system32\drivers”文件夹释放驱动文件“lklosd.sys”，遍历以下软件进程后，在“%SystemRoot%”文件夹释放动态库文件“jiocs.dll”，调用其导出函数“MyEntryPoint”，尝试使用命令“taskkill /f /im”关闭以下软件进程：

Quote:

kavstart.exe
kissvc.exe
kmailmon.exe
kpfw32.exe
kpfwsvc.exe
kwatch.exe
ccenter.exe
ras.exe
rstray.exe
rsagent.exe
ravtask.exe
ravstub.exe
ravmon.exe
ravmond.exe
avp.exe
360safebox.exe
360Safe.exe
Thunder5.exe

　　发现的进程将被其重定向至“svchost.exe”，使部分安全软件失效，通过注册表查找“SOFTWARE\360Safe\safemon”，定位“360tray.exe”与“safeboxTray.exe”磁盘路径，试图通过CreateProcess函数加参数“ /u”运行“safeboxTray.exe”，尝试卸载。
提升自身权限至“SeDebugPrivilege”，将驱动文件“lklosd.sys”创建为服务并启动，“lklosd.sys”为病毒制造者编写的磁盘过滤驱动，病毒将修改“userinit.exe”将部分代码写入其中，并恢复SSDT表，使部分安全软件的主动防御功能失效，操作完成后删除服务避免被发现，服务相关注册表键值如下：

Quote:

键：HKLM\SYSTEM\CurrentControlSet\Services\Kisstusb
值：DisplayName
数据：Kisstusb
值：ImagePath
数据：\??\C:\WINDOWS\system32\drivers\lklosd.sys
值：Start
数据：SERVICE DEMAND START

病毒将访问“GOOGLE”判断主机是否联网，联网则使用API函数“URLDownloadToFileA”下载文件列表文件“http://txt.w***4t.cn/oo.txt”，利用“userinit.exe”下载并执行以下文件：

Quote:

http://111.***bw.cn/new/new1.exe
http://111.***bw.cn/new/new2.exe
http://111.***bw.cn/new/new3.exe
http://111.***bw.cn/new/new4.exe
http://111.***bw.cn/new/new5.exe
http://111.***bw.cn/new/new6.exe
http://111.***bw.cn/new/new7.exe
http://111.***bw.cn/new/new8.exe
http://111.***bw.cn/new/new9.exe
http://111.***bw.cn/new/new10.exe
http://222.***bw.cn/new/new11.exe
http://222.***bw.cn/new/new12.exe
http://222.***bw.cn/new/new13.exe
http://222.***bw.cn/new/new14.exe
http://222.***bw.cn/new/new15.exe
http://222.***bw.cn/new/new16.exe
http://222.***bw.cn/new/new17.exe
http://222.***bw.cn/new/new18.exe
http://222.***bw.cn/new/new19.exe
http://222.***bw.cn/new/new20.exe
http://333.***bw.cn/new/new21.exe
http://333.***bw.cn/new/new22.exe
http://333.***bw.cn/new/new23.exe
http://333.***bw.cn/new/new24.exe
http://333.***bw.cn/new/new25.exe
http://333.***bw.cn/new/new26.exe
http://333.***bw.cn/new/new27.exe
http://333.***bw.cn/new/new28.exe

下载文本文件“http://www.o***t.net/ad.jpg”存储至目录“%SystemRoot%\system32\drivers\etc\“覆盖“hosts”文件以屏蔽下列站点：

Quote:

127.0.0.1    v.onondown.com.cn
127.0.0.2    ymsdasdw1.cn
127.0.0.3    h96b.info
127.0.0.0    fuck.zttwp.cn
127.0.0.0    www.hackerbf.cn
127.0.0.0    ww.popdm.cn
127.1.1.1    bbt.etimes888.com
127.1.1.1    l.neter888.cn
127.1.1.1    stat.untang.com
127.1.1.1    www.ikdy.cn
127.0.0.0    geekbyfeng.cn
127.0.0.0    121.14.101.68
127.0.0.0    ppp.etimes888.com
127.0.0.0    www.bypk.com
127.0.0.0    CSC3-2004-crl.verisign.com
127.0.0.1    va9sdhun23.cn
127.0.0.0    udp.hjob123.com
127.0.0.2    bnasnd83nd.cn
127.0.0.0    www.gamehacker.com.cn
127.0.0.0    gamehacker.com.cn
127.1.1.1    www.cctv-100008.cn
127.1.1.1    222.73.208.141
127.0.0.3    adlaji.cn
127.1.1.1    aiyyw.com
127.0.0.1    858656.com
127.1.1.1    bnasnd83nd.cn
127.0.0.1    my123.com
127.0.0.0    user1.12-27.net
127.0.0.1    8749.com
127.0.0.0    fengent.cn
127.0.0.1    4199.com
127.0.0.1    user1.16-22.net
127.0.0.1    7379.com
127.0.0.1    2be37c5f.3f6e2cc5f0b.com
127.0.0.1    7255.com
127.0.0.1    user1.23-12.net
127.0.0.1    3448.com
127.0.0.1    www.guccia.net
127.0.0.1    7939.com
127.0.0.1    a.o1o1o1.nEt
127.0.0.1    8009.com
127.0.0.1    user1.12-73.cn
127.0.0.1    piaoxue.com
127.0.0.1    3n8nlasd.cn
127.0.0.1    kzdh.com
127.0.0.0    www.sony888.cn
127.0.0.1    about.blank.la
127.0.0.0    user1.asp-33.cn
127.0.0.1    6781.com
127.0.0.0    www.netkwek.cn
127.0.0.1    7322.com
127.0.0.0    ymsdkad6.cn
127.0.0.1    localhost
127.0.0.0    www.lkwueir.cn
127.0.0.1    06.jacai.com
127.0.1.1    user1.23-17.net
127.0.0.1    1.jopenkk.com
127.0.0.0    upa.luzhiai.net
127.0.0.1    1.jopenqc.com
127.0.0.0    www.guccia.net
127.0.0.1    1.joppnqq.com
127.0.0.0    4m9mnlmi.cn
127.0.0.1    1.xqhgm.com
127.0.0.0    mm119mkssd.cn
127.0.0.1    100.332233.com
127.0.0.0    61.128.171.115:8080
127.0.0.1    121.11.90.79
127.0.0.0    www.1119111.com
127.0.0.1    121565.net
127.0.0.0    win.nihao69.cn
127.0.0.1    125.90.88.38
127.0.0.1    16888.6to23.com
127.0.0.1    2.joppnqq.com
127.0.0.0    puc.lianxiac.net
127.0.0.1    204.177.92.68
127.0.0.0    pud.lianxiac.net
127.0.0.1    210.74.145.236
127.0.0.0    210.76.0.133
127.0.0.1    219.129.239.220
127.0.0.0    61.166.32.2
127.0.0.1    219.153.40.221
127.0.0.0    218.92.186.27
127.0.0.1    219.153.46.27
127.0.0.0    www.fsfsfag.cn
127.0.0.1    219.153.52.123
127.0.0.0    ovo.ovovov.cn
127.0.0.1    221.195.42.71
127.0.0.0    dw.com.com
127.0.0.1    222.73.218.115
127.0.0.1    203.110.168.233:80
127.0.0.1    3.joppnqq.com
127.0.0.1    203.110.168.221:80
127.0.0.1    363xx.com
127.0.0.1    www1.ip10086.com.cm
127.0.0.1    4199.com
127.0.0.1    blog.ip10086.com.cn
127.0.0.1    43242.com
127.0.0.1    www.ccji68.cn
127.0.0.1    5.xqhgm.com
127.0.0.0    t.myblank.cn
127.0.0.1    520.mm5208.com
127.0.0.0    x.myblank.cn
127.0.0.1    59.34.131.54
127.0.0.1    210.51.45.5
127.0.0.1    59.34.198.228
127.0.0.1    www.ew1q.cn
127.0.0.1    59.34.198.88
127.0.0.1    59.34.198.97
127.0.0.1    60.190.114.101
127.0.0.1    60.190.218.34
127.0.0.0    qq-xing.com.cn
127.0.0.1    60.191.124.252
127.0.0.1    61.145.117.212
127.0.0.1    61.157.109.222
127.0.0.1    75.126.3.216
127.0.0.1    75.126.3.217
127.0.0.1    75.126.3.218
127.0.0.0    59.125.231.177:17777
127.0.0.1    75.126.3.220
127.0.0.1    75.126.3.221
127.0.0.1    75.126.3.222
127.0.0.1    772630.com
127.0.0.1    832823.cn
127.0.0.1    8749.com
127.0.0.1    888.jopenqc.com
127.0.0.1    89382.cn
127.0.0.1    8v8.biz
127.0.0.1    97725.com
127.0.0.1    9gg.biz
127.0.0.1    www.9000music.com
127.0.0.1    test.591jx.com
127.0.0.1    a.topxxxx.cn
127.0.0.1    picon.chinaren.com
127.0.0.1    www.5566.net
127.0.0.1    p.qqkx.com
127.0.0.1    news.netandtv.com
127.0.0.1    z.neter888.cn
127.0.0.1    b.myblank.cn
127.0.0.1    wvw.wokutu.com
127.0.0.1    unionch.qyule.com
127.0.0.1    www.qyule.com
127.0.0.1    it.itjc.cn
127.0.0.1    www.linkwww.com
127.0.0.1    vod.kaicn.com
127.0.0.1    www.tx8688.com
127.0.0.1    b.neter888.cn
127.0.0.1    promote.huanqiu.com
127.0.0.1    www.huanqiu.com
127.0.0.1    www.haokanla.com
127.0.0.1    play.unionsky.cn
127.0.0.1    www.52v.com
127.0.0.1    www.gghka.cn
127.0.0.1    icon.ajiang.net
127.0.0.1    new.ete.cn
127.0.0.1    www.stiae.cn
127.0.0.1    o.neter888.cn
127.0.0.1    comm.jinti.com
127.0.0.1    www.google-analytics.com
127.0.0.1    hz.mmstat.com
127.0.0.1    www.game175.cn
127.0.0.1    x.neter888.cn
127.0.0.1    z.neter888.cn
127.0.0.1    p.etimes888.com
127.0.0.1    hx.etimes888.com
127.0.0.1    abc.qqkx.com
127.0.0.1    dm.popdm.cn
127.0.0.1    www.yl9999.com
127.0.0.1    www.dajiadoushe.cn
127.0.0.1    v.onondown.com.cn
127.0.0.1    www.interoo.net
127.0.0.1    bally1.bally-bally.net
127.0.0.1    www.bao5605509.cn
127.0.0.1    www.rty456.cn
127.0.0.1    www.werqwer.cn
127.0.0.1    1.360-1.cn
127.0.0.1    user1.23-16.net
127.0.0.1    www.guccia.net
127.0.0.1    www.interoo.net
127.0.0.1    upa.netsool.net
127.0.0.1    js.users.51.la
127.0.0.1    vip2.51.la
127.0.0.1    web.51.la
127.0.0.1    qq.gong2008.com
127.0.0.1    2008tl.copyip.com
127.0.0.1    tla.laozihuolaile.cn
127.0.0.1    www.tx6868.cn
127.0.0.1    p001.tiloaiai.com
127.0.0.1    s1.tl8tl.com
127.0.0.1    s1.gong2008.com
127.0.0.1    4b3ce56f9g.3f6e2cc5f0b.com
127.0.0.1    2be37c5f.3f6e2cc5f0b.com

病毒还将搜集主机MAC地址信息将其发送到“http ://tongji.o***888.cn/insert/getmac.asp”以进行感染统计。

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn