该样本是使用“Microsoft Visual C++ 6.0”编写的“木马下载器”,由微点主动防御软件自动捕获,长度为“146,432”字节,图标为“”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播,病毒主要目的是指引用户计算机到黑客指定的URL地址去下载更多的病毒或木马后门文件并运行。
用户中毒后会出现电脑的运行速度变慢,杀软无故退出而不能启动,出现大量未知进程等现象。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
[ Last edited by pioneer on 2012-5-3 at 14:30 ]作者: pioneer 时间: 2012-5-3 13:34 病毒分析:
1.获取系统缓存目录,创建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\19.tmp","C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1A.tmp","C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1B.tmp","C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1C.tmp",将病毒数据写入该些文件。
2.创建注册表键值"HKEY_CURRENT_USER\SoftWare\Microsoft\Windows\CurrentVersion\Run\volmgr",指向"C:\Documents and Settings\Administrator\Application Data\volmgr.exe",实现开机自启动。
3.将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\19.tmp"拷贝重命名为"C:\Documents and Settings\Administrator\Application Data\volmgr.exe",将"volmgr.exe"的属性设置为系统和隐藏。
4.将文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1A.tmp"拷贝重命名为"C:\Documents and Settings\Administrator\Application Data\volmgr.dll"。将"volmgr.dll"的属性设置为系统和隐藏。
5.删除文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1B.tmp","C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\19.tmp","C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1A.tmp"。
6.将文件"C:\WINDOWS\system32\drivers\etc\hosts"的属性设置为普通,然后将"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1C.tmp"替换掉"hosts"文件,并将"hosts"的属性设置为系统和隐藏,然后删除"1C.tmp"。
7.执行程序"C:\Documents and Settings\Administrator\Application Data\volmgr.exe"。
8.打开Internet访问网络地址http://gf****fcb.net/info.php?rnd=787737,并下载恶意数据到用户计算机。
9.创建新进程,执行命令"C:\Documents and Settings\Administrator\Application Data\volmgr.exe c:\病毒文件名.exe"。