标题: 木马下载器Trojan-Downloader.Win32.Losabel.sa [打印本页]

---

作者: pioneer     时间: 2009-1-2 21:14    标题: 木马下载器Trojan-Downloader.Win32.Losabel.sa

Trojan-Downloader.Win32.Losabel.sa

捕获时间

2009-1-2

病毒摘要

该样本是使用“Delphi”编写的木马下载器程序，由微点主动防御软件自动捕获，采用“NSPack”加壳方式试图躲避特征码扫描,加壳后长度为“37,223字节”，图标为“”，使用“exe”扩展名，通过“网页木马”、“文件捆绑”途径植入用户计算机，运行后联网下载其他木马到本地运行。



感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；



          图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-Downloader.Win32.Losabel.sa”，请直接选择删除（如图2）。


          图2   微点主动防御软件升级后截获已知病毒

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。

[ Last edited by pioneer on 2009-1-2 at 21:15 ]

---

作者: pioneer     时间: 2009-1-2 21:17
病毒分析

该样本程序被执行后，创建名为“Av Love Av Av Av Av Av”的互斥体，防止程序的再次调用,尝试修改如下360安全卫士相关键值，实现关闭其实时监控来保护自身：

Quote:

项：HKLM\Software\360Safe\safemon 键: ExecAccess 指向数据：0 键: MonAccess 指向数据：0 键: LeakShowed 指向数据：0 键: SiteAccess 指向数据：0 键: UDiskAccess 指向数据：0 键: weeken 指向数据：0

将%SystemRoot%\system32\drivers\目录下“beep.sys”文件读到内存缓冲区作备份，并释放病毒驱动文件“sbl.sys”到此目录下，调用API函数关闭“beep服务”，拷贝病毒驱动“sbl.sys”为“beep.sys”，并使用相关API函数启动“beep服务”以加载病毒驱动。驱动加载成功后，恢复SSDT，使部分杀毒软件安全监控失效。后该样本使用API函数“DeleteFileA”删除病毒驱动文件“sbl.sys”，并将内存缓冲区备份的原系统文件“beep.sys”进行回写，恢复系统“beep.sys” 文件，实现此病毒驱动的隐藏，遍历查找下列指定的安全进程，找到后尝试关闭该安全进程，实现自身的保护：

Quote:

RavMonD.exe RavMon.exe Rav.exe RavTask.exe RavStub.exe CCenter.exe 360rpt.exe 360Safe.exe 360tray.exe rfw.exe

不断遍历枚举窗口，尝试发送“WM_CLOSE”、“WM_DESTROY”、“WM_QUIT”消息实现关闭含有下列关键字的窗体来保护自身：

Quote:

防火墙 杀毒 江民 金山 木马 FireWall Virus Anti 超级巡警 NOD32 安全 瑞星 抓包 监视 Sniffer 嗅探 DeBug IDA fly 主线程 微点 优化 专杀

拷贝自身到系统目录%SystemRoot%\下，名称为“system32StopAor.exe”，添加如下相关注册表项实现自身随机启动：

Quote:

项：HKLM\Software\Microsoft\Windows\CurrentVersion\policies\explorer\run 键：XMouie 指向数据：%SystemRoot%\system32StopAor.exe

修改下列的注册表键值实现不显示隐藏文件，企图隐藏木马：

Quote:

项：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced” 键：Hidden 指向数据：2 项：HKLM\ Software \Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder \Hidden\SHOWALL 键：CheckedValue 指向数据：0

在注册表HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下添加下列项,达到劫持大部分安全软件的目的：

Quote:

360safe.exe adffgh785v.exe 360tray.exe adam.exe agentsvr.exe appsvc32.exe autoruns.exe avgrssvc.exe avmonitor.exe avp.com avp.exe ccenter.exe ccsvchst.exe filedsty.exe ftcleanershell.exe hijackthis.exe icesword.exe iparmo.exe iparmor.exe ispwdsvc.exe kabaload.exe kascrscn.scr kasmain.exe kastask.exe kav32.exe kavdx.exe kavpfw.exe kavsetup.exe kavstart.exe kislnchr.exe kmailmon.exe kmfilter.exe kpfw32.exe kpfw32x.exe kpfwsvc.exe kregex.exe krepair.com ksloader.exe kvcenter.kxp kvdetect.exe kvfwmcl.exe kvmonxp.kxp kvmonxp_1.kxp kvol.exe kvolself.exe kvreport.kxp kvsrvxp.exe kvstub.kxp kvupload.exe kvwsc.exe kvxp.kxp kwatch.exe kwatch9x.exe kwatchx.exe loaddll.exe magicset.exe mcconsol.exe mmqczj.exe mmsk.exe navsetup.exe nod32krn.exe nod32kui.exe pfw.exe pfwliveupdate.exe qhset.exe ras.exe rav.exe ravmon.exe ravmond.exe ravstub.exe ravtask.exe regclean.exe rfwcfg.exe rfwmain.exe rfwproxy.exe rfwsrv.exe rsagent.exe rsaupd.exe runiep.exe safelive.exe scan32.exe shcfg32.exe smartup.exe sreng.exe symlcsvc.exe syssafe.exe trojandetector.exe trojanwall.exe trojdie.kxp uihost.exe umxagent.exe umxattachment.exe umxcfg.exe umxfwhlp.exe umxpol.exe uplive.exe wopticlean.exe zxsweep.exe sos.exe auto.exe ufo.exe autorun.exe xp.exe taskmgr.exe guangd.exe appdllman.exe kernelwind32.exe logogo.exe tnt.exe sdgames.exe txomou.exe guangd.exe cross.exe sdgames.exe regedit.exe regedit32.exe wsyscheck.exe servet.exe discovery.exe pagefile.exe pagefile.pif niu.exe ~.exe aoyun.exe 键值均为：debugger 数据均指向：%SystemRoot%\system32StopAor.exe

调用API函数“URLDownloadToFileA”，把下列指定的木马列表文件保存到目录%SystemRoot%\system32\下，名称为“Contxt.dat”：

Quote:

http://b***u.bbtu001.com/ma/si.txt

读取木马列表配置文件“Contxt.dat”，下载大量木马并在下载后调用运行木马，读完配置文件后，调用API函数“DeleteFileA”删除此“Contxt.dat”配置文件，通过枚举注册表得到“IEXPLORE.EXE”的路径，后台调用该浏览器访问下列指定网址进行访问次数统计

Quote:

http:// b***u.bbtu001.com/htm/w62.htm

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn