微点交流论坛
» 游客:  注册 | 登录 | 帮助

 

作者:
标题: 病毒释放者Trojan-Dropper.Win32.Agent.arpd
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#1  病毒释放者Trojan-Dropper.Win32.Agent.arpd

病毒释放者

Trojan-Dropper.Win32.Agent.arpd

捕获时间

2011-02-28

危害等级



病毒症状

  该样本是使用“VC++”编写的“病毒释放者”程序,由微点主动防御软件自动捕获,长度为“36,864 字节”,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播,病毒主要目的是释放病毒,并进一步控制用户计算机,窃取用户信息。。
  用户中毒后,可能会出现计算机无故重启、关闭,重要文件丢失,系统及网络缓慢、程序无故关闭等导致用户隐私泄露及影响用户使用的现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)


图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Dropper.Win32.Agent.arpd”,请直接选择删除(如图2)。


图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:

1、手动删除以下文件:

%%Temp%\tmp.exe
%%Temp%\_uninstall
%SystemRoot%\temp\tmp.exe
C:\Documents and Settings\All Users\「开始」菜单\程序\启动\ktv.lnk

2、手动删除以下注册表项:

HKEY_LOCAL_MACHINE\Software\ASD
名称:STM  
数据:1298517450

变量声明:

%SystemDriver%         系统所在分区,通常为“C:\”
%SystemRoot%          系统所在目录,通常为“C:\Windows”
%Documents and Settings%    用户文档目录,通常为“C:\Documents and Settings”
%Temp%             临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%         系统程序默认安装目录,通常为:“C:\ProgramFiles”

[ Last edited by pioneer on 2011-2-28 at 16:35 ]

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2011-2-28 16:28
查看资料  发短消息   编辑帖子
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#2  

病毒分析

1、在临时文件夹目录%Temp%下创建文件夹w8vvi2o(随机名),然后在该文件夹下创建文件2.tmp,然后创建文件tmp.exe.tmp;
2、根据2.tmp和tmp.exe.tmp创建文件tmp.exe,然后将该文件移动到 %SystemRoot%\temp目录下,将病毒运行信息写入记录文件%Temp%\_uninstall;
3、打开注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders,查找common startup项,根据数据找到C:\Documents and Settings\All Users\「开始」菜单\程序\启动目录,在该目录下创建%SystemRoot%\temp\tmp.exe的快捷方式ktv.lnk,,实现tmp.exe的开机自启动;
4.tmp.exe启动后,创建名称为Global\571AD448-1F69-47d5-AEC1-D5EA2234409B的事件;
5、连接病毒网络8475.***.cn,发送用户信息到该网络地址;
6、打开互斥体“142378317”,查看是否有一个实例已经运行;
7、创建注册表项HKEY_LOCAL_MACHINE\Software\ASD,名称为STM,数据为1298517450;
8、连接病毒网络http://60.***.234.138/pl1.txt,读取网络资源信息,获取另一个网络下载地址http://sp.demi***.com/88.exe;
9、打开网络地址http://sp.demi***.com/88.exe,读取网络资源信息,将病毒文件下载到本地%Temp%目录下并重命名为fvq8.tmp,然后运行下载的病毒文件;
  
病毒创建文件:

%Temp%\2.tmp
%Temp%\tmp.exe.tmp
%%Temp%\tmp.exe
%%Temp%\_uninstall
%SystemRoot%\temp\tmp.exe
C:\Documents and Settings\All Users\「开始」菜单\程序\启动\ktv.lnk

病毒创建注册表:

HKEY_LOCAL_MACHINE\Software\ASD
名称:STM  数据:1298517450
    
病毒访问网络:

http://60.***.234.138/pl1.txt
8475.***.cn
8476.http://sp.demi***.com/88.exe

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2011-2-28 16:30
查看资料  发短消息   编辑帖子



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]


北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号