标题: 下载者以及其非常独特 试图过微点的一支新AV终结者 [打印本页]

---

作者: 反黑先锋     时间: 2007-10-13 17:07    标题: 下载者以及其非常独特 试图过微点的一支新AV终结者

作者：清新阳光  2007年10月13日 12:32 掘自:发掘网

U盘病毒ah.exe以及其下载的病毒的分析
这是一个类似AV终结者的木马下载器，具有U盘传播，关闭杀毒软件和指定窗口并下载木马的功能

File: ah.exe
Size: 18432 bytes
Modified: 2007年10月12日, 21:12:04
MD5: B329E5D20A1636F2A7EB7051A8ED55A1
SHA1: 4AAE08CB65BFBCC0F5F086AEDB3042ED16332F2F
CRC32: 8300CEA6
AV命名：Trojan.DL.Win32.Autorun.yuz（瑞星）

技术细节：
1、释放病毒副本：
%systemroot%\system32\dream.exe
%systemroot%\system32\sbl.inf
%systemroot%\system32\plmmsbl.dll
各个分区释放autorun.inf和ah.exe
%systemroot%\system32\sbl.inf与autorun.inf内容相同

2.添加注册表启动项目
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
下添加  {melove}{%systemroot%\system32\dream.exe}
和{dream}{%systemroot%\system32\dream.exe}的启动项目

3.启动一个svchost.exe 然后利用

3.调用cmd.exe 执行cmd.exe /c net stop sharedaccess的命令 关闭Windows自带的防火墙

4.结束如下进程
360safe.exe
360tray.exe
avp.exe

5.检测窗口，关闭带有如下字样的窗口
防火墙
任务管理器
木马清道夫
木马克星
超级巡警
NOD32核心
微点 ;)微点报警发现未知间谍软件
下载的东东很有研究价值~！已上报  请工程师查看3楼和5楼
Program version: 1.2.10571.0099
Characteristic base: 1.6.467.071012
Update time: 2007-10-12 17:07:52






安全卫士
木马杀客
NOD32 内核
杀毒
江民
金山

6.调用CreateProcess打开进程%systemroot%\system32\svchost.exe，把%systemroot%\system32\plmmsbl.dll注入到svchost.exe中，并调用urlmon.dll实现下载功能
下载http://*.8800.org/lxh.exe到c盘并命名为a.exe（或者b.exe ,c.exe）

http://*.8800.org/lxh.exe会释放一个winsys16_071012.dll（文件名不固定,病毒几乎每天都在更新）到%systemroot%\system32\下面
并利用rundll32.exe加载

此病毒也是一个类似AV终结者的下载者病毒
添加启动项目
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\
下面添加
向瑞星的IE执行保护 发送允许的指令
向卡巴的安全警告 发送允许或者跳过的指令
并可关闭如下字样的窗口（包括但不限于）
卡巴斯基
瑞星
安全卫士
毒霸
360
江民
Windows任务管理器
雅虎助手
Kaspersky
jiangmin
rising
NOD32
Symantec AntiVirus
系统配置实用程序
注册表编辑器
启动管理
木马
mcafee
duba
金山反间谍
...

之后病毒又会接连下载几个木马程序

木马全部植入完毕以后
木马生成物主要如下
%systemroot%\system\AlxRes071012.exe
%systemroot%\system32\inf\scrsys071012.scr
%systemroot%\system32\inf\scrsys16_071012.dll
%systemroot%\system32\mywebhit.ini
%systemroot%\system32\wincheck071008.dll
%systemroot%\system32\wincheck071008.exe
%systemroot%\system32\winsys16_071012.dll
%systemroot%\system32\winsys32_071012.dll
%systemroot%\checkcj.ini
%systemroot%\mwinsys.ini

sreng日志如下
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    {mscheck}{rundll32.exe %systemroot%\system32\wincheck071008.dll mymain}  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    {Userinit}{rundll32.exe %systemroot%\system32\winsys16_071012.dll start}  [N/A]
    {melove}{%systemroot%\system32\dream.exe}  []
    {dream}{%systemroot%\system32\dream.exe}  []

==================================
Autorun.inf
[C:\]
[autorun]
OPEN=ah.exe
shellexecute=ah.exe
shell\Auto\command=ah.exe
shell=open
[D:\]
[autorun]
OPEN=ah.exe
shellexecute=ah.exe
shell\Auto\command=ah.exe
shell=open

解决方法：
下载冰刃：
http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip
sreng：
http://download.kztechs.com/files/sreng2.zip

1.打开Icesword
进程栏中 结束dream.exe和rundll32.exe

单击 左下角文件按钮
删除如下文件
%systemroot%\system\AlxRes071012.exe
%systemroot%\system32\inf\scrsys071012.scr
%systemroot%\system32\inf\scrsys16_071012.dll
%systemroot%\system32\mywebhit.ini
%systemroot%\system32\wincheck071008.dll
%systemroot%\system32\wincheck071008.exe
%systemroot%\system32\winsys16_071012.dll
%systemroot%\system32\winsys32_071012.dll
%systemroot%\checkcj.ini
%systemroot%\mwinsys.ini
%systemroot%\system32\dream.exe
%systemroot%\system32\sbl.inf
%systemroot%\system32\plmmsbl.dll
以及每个分区下面的
ah.exe 和autorun.inf


2.打开sreng
启动项目 注册表
删除如下项目
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    {mscheck}{rundll32.exe %systemroot%\system32\wincheck071008.dll mymain}  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    {Userinit}{rundll32.exe %systemroot%\system32\winsys16_071012.dll start}  [N/A]
    {melove}{%systemroot%\system32\dream.exe}  []
    {dream}{%systemroot%\system32\dream.exe}  []

即可

【原文地址：http://www.itdigger.com/2007/10/13/125313390.htm 请勿断链 保留此行】

[ Last edited by 反黑先锋 on 2007-10-31 at 12:00 ]

---

作者: qq2008444     时间: 2007-10-13 17:08
~ ~才那么点东西啊

---

作者: 反黑先锋     时间: 2007-10-13 19:21
样本已发送  超版请测试研究下 有个病毒非常独特 可惜啊还是没能过微点








win32k

---

作者: qq2008444     时间: 2007-10-13 20:35
:oMS反黑很勤劳哦
这种警报估计你发得最多

---

作者: 反黑先锋     时间: 2007-10-13 20:42
;)3楼的病毒  微点工程师研究下吧。

win32k: 这毒的确大智若愚
看图，好看的说，下载的东东挺独特的哈  可惜还是没过了微点

---

作者: 微点专家     时间: 2007-10-14 00:22
干嘛要积分才能进来看啊

---

作者: 228879547     时间: 2007-10-14 10:41
·············  看的我一头雾水···看不明白·····学习学习

---

作者: 反黑先锋     时间: 2007-10-15 10:19
微点是否收到了我发的邮件哦 这毒虽然过不了微点。。 但是很有研究价值 支持微点更强

[ Last edited by 反黑先锋 on 2007-10-15 at 10:33 ]

---

作者: Legend     时间: 2007-10-15 10:39
反黑先锋
您好，您的邮件我们已经收到，但是附加无法正常解压，请您尝试重新发送，谢谢您的反馈和支持。

---

作者: 反黑先锋     时间: 2007-10-15 11:01

Quote:

Originally posted by Legend at 2007-10-15 10:39: 反黑先锋 您好，您的邮件我们已经收到，但是附加无法正常解压，请您尝试重新发送，谢谢您的反馈和支持。

你们的反病毒已经收到了哦;) 技术支持说无法解压
“ah.exe 已命名为：Worm.Win32.AutoRun.e
lxh.exe 已命名为： Trojan-Spy.Win32.Agent.buh”

我重新写了2份给反病毒和技术支持 邮件已成功发出。

[ Last edited by 反黑先锋 on 2007-10-15 at 11:06 ]

---

作者: 青豆     时间: 2007-10-15 17:57
恩，这是好事
说明过微点已经成为病毒编写者的大难题了

---

作者: 独孤一梦     时间: 2007-10-17 13:25
昨天还不能进，今天终于可以进了

---

作者: wkwx     时间: 2007-10-19 08:58
学习了！

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn