微点交流论坛 - 病毒快报 - 机器狗变种Trojan-Downloader.Win32.EDog.af

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 病毒快报 » 机器狗变种Trojan-Downloader.Win32.EDog.af

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#1 机器狗变种Trojan-Downloader.Win32.EDog.af

病毒名称

Trojan-Downloader.Win32.EDog.af

捕获时间

2008-05-24

病毒摘要

该木马是使用VC编写的可以穿透还原保护类型的下载者程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描,加壳后长度25,213字节，图标为

，使用 exe扩展名，通过网页木马、其他下载器下载的方式传播，主要针对安装有还原系统的网吧进行攻击，攻击成功后自动下载多种盗号木马窃取网游玩家的用户密码信息。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、下载器下载

安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“可疑程序”，请直接选择删除处理（如图1）；

　　如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现" Trojan-Downloader.Win32.EDog.af”，请直接选择删除（如图2）。

　　对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2008-5-24 18:08

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#2

病毒分析

样本主程序分析

动作一：
该样本程序被执行后，查找自身资源名为“65”的资源，该资源为一个动态链接库文件，读取后将其释放到%temp%目录下命名为“dat*.tmp”并加载到自身进程空间。

动作二：
提升自身进程权限为“SeDebugPrivilege”，遍历进程及其线程查找“DrvAnti.exe”，如果找到使用TerminateThread强制关闭驱动防火墙 DrvAnti.exe主线程，查找所释放模块“dat*.tmp”资源名为“66”的资源，该资源为一个驱动文件，读取后将其释放到%temp%目录下命名为“dat#.tmp”；调用ZwQuerySystemInformation查询系统模块信息检索“classpnp.sys”、“stpdrive.sys”、“ntfs.sys”、“ntkrpamp.exe”、“fastfat.sys”、“ntoskrnl.exe”、“NTKRNLPA.exe”、“atapi.sys”、“ntkrpamp.exe”、“ntkrnlmp.exe”并确认以上模块映像是否存在，判断系统硬件环境以及文件系统环境。

动作三：
将%SystemRoot%\system32\drivers目录下的“beep.sys”拷贝到“%SystemRoot%\system32\dllcache”目录下，之后将“beep”服务停止，拷贝木马所释放的驱动文件“dat#.tmp”覆盖%SystemRoot%\system32\drivers目录下的“beep.sys”，调用API函数StartServiceA再次启动服务。

动作四：
获取系统目录分别查找系统文件services.exe、cdfview.dll，打开物理磁盘“\Device\Harddisk0\DR0”，读取文件检测自身是否遭到感染，如果未感染获取其物理扇区地址，通过驱动解除还原软件：“\\Driver\\DeepFrz（冰点）”、“\\Driver\\snpshot（影子系统）”、“\\Driver\\YzIdiot（还原精灵）”、“\\Driver\\newarch（未知设备）”的Object Hook，创建文件映射到内存中将以上两文件感染，被感染文件分析见下文，感染之后恢复Object Hook，达到突破还原的目的。

动作五：

把病毒当前执行路径保存到注册表中。
项：HKLM\software\microsoft\windows\currentversion\explorer\desktop\
健值：sysfile
指向数据：病毒当前执行路径

动作六：
提升自身进程权限为“SeDebugPrivilege”，遍历进程查找Winlogon.exe。找到后进行注入，如果注入成功则使注入的代码被执行后载入病毒所释放的动态链接库文件，再次执行以上动作，否则遍历进程查找explorer.exe，找到后进行注入，并执行动态链接库文件，再次执行以上动作。

动作七：

读取下载列表http://g.jt**.com/ms.txt下载多种盗号木马到本地执行。

被感染的Services.exe分析：
Services.exe为Windows核心进程，系统服务管理器进程，在系统登陆前由Winlogon.exe进程加载，用于加载并初始化Win32环境下的服务程序，并负责服务管理及其调用。被感染的Services.exe导入表中添加一个函数“HttpUddUrl”，文件大小不变。当该文件被Winlogon.exe启动后，会调用被病毒所修改“cdfview.dll”中的“HttpUddUrl”函数。

被感染的cdfview.dll分析：

该文件是被病毒以首字节覆盖的方式感染的，感染文件大小不变，但正常系统功能调用已经被破坏。完成功能同病毒释放的动态链接库文件，经过Upack加壳方式压缩，共导出三条函数“HttpAddUrl”、“InitHttp”、“ReadHttp”：
HttpAddUrl功能同主体文件分析“动作二”开始执行
InitHttp功能同主体文件分析“动作六”开始执行
ReadHttp功能同主体文件分析“动作五”开始执行

[ Last edited by pioneer on 2008-5-30 at 21:20 ]

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2008-5-24 18:13

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号