pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#1 木马程序Trojan.Win32.VB.cro
病毒名称
Trojan.Win32.VB.cro
捕获时间
2008-04-21
病毒症状
该程序是使用VB编写的下载程序，由微点主动防御软件自动捕获，程序未加壳,长度81,920字节，图标为Windows默认SoundMan.exe图标，病毒扩展名为exe，主要通过网页木马、文件捆绑方式传播。
病毒分析
该木马程序被执行后，遍历进程依次查找fint2005.exe、ehsniffer.exe、iris.exe，不管是否找到都休眠600000ms；以命令行的形式关闭服务：
| Quote: | | wscsvc、sharedaccess、sharedaccess、KPfwSvc、KWatchsvc、McShield、Norton AntiVirus Server； |
|
遍历进程查找如下进程将其关闭；
| Quote: | | hstat.exe, runiep.exe ras.exe mpg4c32.exe, imsins.exe iparmor.exe ,360safe.exe, 360tray.exe kmailmon.exe kavstart.exe ccenter.exe |
|
访问恶意网址http://ps.*****.com/rc/1500/gx.jpg将其他病毒程序下载到本地%systemroot%\system32目录下，命名为vbb.exe并运行；
vbb.exe运行后，以命令行的形式关闭服务：
| Quote: | | wscsvc、sharedaccess、sharedaccess、KPfwSvc、KWatchsvc、McShield、Norton AntiVirus Server； |
|
在目录%systemroot%下生成病毒程序SoundMan.exe，在目录%systemroot%\system32下生成病毒程序interne.exe，修改文件属性为隐藏、系统；删除部分杀毒软件自启动项使其不能随系统一起启动；以命令行net user new1 12369 /add的方式添加用户new1，其口令为12369，以命令行net localgroup administrators new1 /add将用户new1添加到管理员组中；以某种方式将病毒程序interne.exe注册成名为helpsvc的服务并启动服务；通过印象劫持手段重定向某些杀毒软件,当用户运行该程序时会运行病毒本身；之后运行%systemroot%\SoundMan.exe；以命令行的方式将vbb.exe文件删除；
| Quote: | 项：HKLM\SYSTEM\CurrentControlSet\Services\ helpsvc\
键值：DisplayName
指向数据：Help and Support
项：HKLM\SYSTEM\CurrentControlSet\Services\ helpsvc\
键值：ImagePath
指向文件：%SystemRoot%\system32\interne.exe
项：HKLM\SYSTEM\CurrentControlSet\Services\ helpsvc\
键值：Start
指向数据：02
项：HKLM\SYSTEM\CurrentControlSet\Services\ helpsvc\
键值：Description
指向数据：启用在此计算机上运行帮助和支持中心。如果停止服务，帮助和支持中心将不可用。如果禁用服务，任何直接依赖于此服务的服务将无法启动。 |
|
SoundMan.exe运行后，以命令行的形式关闭服务：wscsvc、sharedaccess、sharedaccess、KPfwSvc、KWatchsvc、McShield、Norton AntiVirus Server；
遍历进程查找如下进程将其关闭；
| Quote: | | hstat.exe, runiep.exe ras.exe mpg4c32.exe, imsins.exe iparmor.exe ,360safe.exe, 360tray.exe kmailmon.exe kavstart.exe ccenter.exe |
|
访问如下恶意网址将其他病毒程序下载到本地
| Quote: | http://www.*****.org.cn/rc/zj/notepde.jpg C:\windows\system32\notepde.exe
http://www.*****.org.cn/rc/zj/baidu.jpg C:\windows\system32\baidu.exe
http://www.*****.org.cn/rc/zj/ssave.jpg C:\windows\system32\ssave.exe
http://www.*****.org.cn/rc/zj/gx.jpg C:\windows\gx.exe |
|
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马,文件捆绑
安全提示
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现" Trojan.Win32.VB.cro”，请直接选择删除（如图2）。
对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。
[ Last edited by pioneer on 2008-4-21 at 18:41 ]
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
