»
游客:
注册
|
登录
|
帮助
微点交流论坛
»
病毒快报
» 木马下载器Trojan-Downloader.Win32.Small.b
作者:
标题: 木马下载器Trojan-Downloader.Win32.Small.b
pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#1
木马下载器Trojan-Downloader.Win32.Small.b
木马下载器
Trojan-Downloader.Win32.Small.b
捕获时间
2010-9-03
危害等级
中
病毒症状
该样本是使用“VC++”编写的“下载者”,由微点主动防御软件自动捕获,长度为“32,811”字节,图标为“
”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是下载病毒木马。
当用户计算机感染此木马病毒后,会出现系统无故报错,杀毒软件自动退出无法启动,并且发现大量未知进程等现象.
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载
防范措施
已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍”,请直接选择删除处理(如图1)
图1 微点主动防御软件自动捕获未知病毒(未升级)
如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Downloader.Win32.Small.b”,请直接选择删除(如图2)。
图2 微点主动防御软件升级后截获已知病毒
未安装微点主动防御软件的手动解决办法:
手动删除文件
1.删除%Temp%\setup.exe
2.删除%Temp%\ set1.tmp.bat
3.删除%Documents and Settings%\当前用户 \Local Settings\Temporary Internet Files\Content.IE5\0A01B6SV\ xxxeeeddd[1].exe
手动删除注册表
1.删除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager
名称:
数据:CacheOk
2.删除
HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\InProcServer32
名称:ThreadingModel
数据: Apartment
3.删除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellCompatibility\Objects\{20D04FE0-3AEA-1069-A2D8-08002B30309D}
4.删除
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{897ed10a-7e49-11df-bd9f-806d6172696f}
名称:BaseClass
数据:Drive
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2010-9-4 17:59
pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#2
病毒分析:
1.病毒获得临时目录,在该目录下从网站用命令URLDownloadToFileA下载文件setup.exe。
2.以隐藏窗口的方式执行该文件%Temp%\setup.exe
3.创建监控进程,键盘和鼠标的消息钩子,监控用户信息
4.尝试连接网络:www.***.info,创建远程线程,从远处文件www.****.info/xxxeeeddd.exe读取数据到本地。
5.创建Temp%\ set1.tmp(随机名),建立批处理文件Temp%\ set1.tmp.bat(随机名),实现自删除
6.打开管道\\.\pipe\wkssvc,\\pipe\lsarpc,
7.通过本地IP:127.0.0.1:1695
连接远程IP:222 .189.238.246:80
病毒创建文件:
%Temp%\setup.exe
%Temp%\ set1.tmp.bat
%Documents and Settings%\当前用户 \Local Settings\Temporary Internet Files\Content.IE5\0A01B6SV\ xxxeeeddd[1].exe
病毒创建注册表:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager
名称:
数据:CacheOk
HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\InProcServer32
名称:ThreadingModel
数据: Apartment
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellCompatibility\Objects\{20D04FE0-3AEA-1069-A2D8-08002B30309D}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{897ed10a-7e49-11df-bd9f-806d6172696f}
名称:BaseClass
数据:Drive
病毒访问网络:
http://www.
*****.info/xxxeeeddd.exe
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2010-9-4 18:00
论坛跳转:
微点软件公测区
安全快报
> 病毒快报
> 漏洞快报
微点产品在线技术支持
> 微点主动防御软件
> 预升级反馈专区
> 微点杀毒软件
微点用户交流区
> 微点新闻
> 微点软件使用交流
> 微点茶室
安全技术交流区
> 主动防御
> 反病毒
> 防火墙
综合区
> 电脑&数码
> 体育&娱乐&休闲
> 灌水区
版务管理
内部使用专区
可打印版本
|
推荐
|
订阅
|
收藏
[
联系我们
-
东方微点
]
北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司
闽ICP备05030815号