微点交流论坛
» 游客:  注册 | 登录 | 帮助

 

作者:
标题: 木马下载者Trojan-Downloader.Win32.Perkesh.gh
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#1  木马下载者Trojan-Downloader.Win32.Perkesh.gh

木马下载者

Trojan-Downloader.Win32.Perkesh.gh

捕获时间

2011-02-20

危害等级



病毒症状

  该样本是使用“VC++”编写的下载者程序,由微点主动防御软件自动捕获,采用“UPX”加壳方式,长度为“29,696 字节”,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播,病毒主要目的为下载恶意程序至用户主机运行。
用户中毒后,会出现计算机及网络运行缓慢,出现未知进程和服务,系统及网络缓慢、程序无故关闭、出现各类病毒等导致用户隐私泄露及影响用户使用的现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)



图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Downloader.Win32.Perkesh.gh”,请直接选择删除(如图2)。



图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:

1、手动删除以下文件:
%Temp%\~1251578.kx
%TEMP%\~843765.exe
C:\WINDOWS\system32\48w9Q.exe
%Temp%\~9e9838.dat
2、手动删除以下注册表项:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
Avp.exe、safeboxtray.exe、360tray.exe、egui.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aav
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vb
DisplayName:vb         ImagePath:%Temp%\~843765.ex
3、修复被病毒修改的hosts文件

变量声明:

%SystemDriver%       系统所在分区,通常为“C:\”
%SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
%Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2011-2-20 15:47
查看资料  发短消息   编辑帖子
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#2  

病毒分析

1、病毒首先创建互斥体“ffgio”,防止程序多次运行,如果创建失败,退出自身进程;
2、尝试打开wscsvc(windows安全中心)服务,然后停止该服务;
3、创建进程快照查找egui.exe和ekrn.exe进程,如果找到,结束进程并停止相关的服务;
4、创建进程快照,遍历进程查找Ras.exe、rsmain.exe、rsnetsrv.exe、scanfrm.exe、ravtask.exe、ccenter.exe、rfwsrv.exe、rstray.exe、ravmond.exe、kpswsvc.exe、kavstart.exe、kaccore.exe、kpfw32.exe、kissvc.exe、kwatch.exe、kamilmon.exe,如果找到,通过释放进程的内存来结束进程;
5、再次遍历进程查找avp.exe、360tray.exe、safeboxtray.exe进程;如果找到,会在%Temp%目录下创建动态库文件~1251578.kx(随机名),通过调用%SystemRoot%\system32\rundll32.exe以参数“zzz”加载该动态链接库,动态库加载后,创建名为"aav"的服务,通过该服务将杀软进程终止,并删除相关服务,然后镜像劫持杀软,病毒会不断枚举当前窗口,一旦找到与反病毒相关的窗口就会将其退出;
6、释放驱动文件%TEMP%\~843765.ex,并释放同名病毒程序%TEMP%\~843765.exe,创建注册表,实现病毒开机自启动
7、在系统目录下创建文件C:\WINDOWS\system32\48w9Q.exe(随机名),提高该文件进程权限;打开服务管理器,创建名为"vb"的服务,加载驱动文件%TEMP%\~843765.ex,通过该驱动将病毒代码写入%SystemRoot%\System32\userinit.exe,完成感染userinit.exe,完成后删除~843765.ex;
8、创建名为“\\.\ao1”的设备,通过该设备与内核进行通信,执行%TEMP%\~843765.exe;~843765.exe运行后,比较自身是否为userinit.exe;
如果不是,病毒会创建名为“aprv”互斥体,然后创建线程,获得当前进程列表,查找进程"qq.exe"和"cmd.exe"是否存在,如果找到进程"qq.exe",则收集该进程对应程序的使用相关信息,连同被感染机器的Mac地址一起发送到病毒指定网址,如果找到进程"cmd.exe",则终止该进程;
9、循环枚举窗口,如果发现cmd窗口开启,便发送消息使该窗口退出;
10、连接病毒网络,获得网络资源列表,将读取的资源信息保存到%Temp%\~9e9838.dat(随机名),读取下载的~9e9838.dat信息,下载大量病毒到本地运行;
11、访问网络读取资源,将其内容写入%SystemRoot%\system32\drivers\etc\hosts文件,完成hosts文件的修改;收集并统计被感染主机的系统相关信息,发送到指定网址;
12、镜像劫持egui.exe,并设置下次系统重启删除驱动文件%TEMP%\~843765.ex和病毒自身;
 
病毒创建文件:

%Temp%\~1251578.kx
%TEMP%\~843765.ex
%TEMP%\~843765.exe
C:\WINDOWS\system32\48w9Q.exe
%Temp%\~9e9838.dat

病毒创建注册表:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
Avp.exe、safeboxtray.exe、360tray.exe、egui.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aav
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vb
DisplayName:vb         
ImagePath:%Temp%\~843765.ex
  
病毒访问网络:

http://to.**.com:81/fc/in11.txt
http://208.**.161.76:585/hs/0.exe
http://208.**.161.76:585/hs/1.exe
http://208.**.161.76:585/hs/2.exe
http://208.**.161.76:585/hs/3.exe
http://208.**.161.76:585/hs/4.exe
http://208.**.161.76:585/hs/5.exe
http://208.**.161.76:585/hs/6.exe
http://208.**.161.76:585/hs/7.exe
http://208.**.161.76:585/hs/8.exe
http://208.**.161.76:585/hs/9.exe
http://208.**.161.76:585/hs/10.exe
http://208.**.161.76:585/hs/11.exe
http://208.**.161.76:585/hs/12.exe
http://208.**.161.76:585/hs/13.exe
http://208.**.161.76:585/hs/14.exe
http://208.**.161.76:585/hs/15.exe
http://208.**.161.76:585/hs/16.exe
http://208.**.161.76:585/hs/17.exe
http://208.**.161.76:585/hs/18.exe
http://208.53.161.76:585/hs/19.exe
http://208.**.161.76:585/hs/20.exe
http://208.**.161.76:585/hs/21.exe
http://208.**.161.76:585/hs/22.exe
http://208.**.161.76:585/hs/23.exe
http://208.**.161.76:585/hs/24.exe
http://208.**.161.76:585/hs/25.exe
http://208.**.161.76:585/hs/27.exe
http://208.**.161.76:585/hs/28.exe
http://208.**.161.76:585/hs/29.exe
http://208.**.161.76:585/hs/30.exe
http://208.**.161.76:585/hs/31.exe
http://208.**.161.76:585/hs/32.exe
http://208.**.161.76:585/tj/t11.exe
http://208.**.161.76:585/hs/35.exe
http://208.**.161.76:585/hs/26.exe

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2011-2-20 15:48
查看资料  发短消息   编辑帖子



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]


北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号