微点交流论坛
» 游客:  注册 | 登录 | 帮助

 

作者:
标题: 木马程序Trojan.Win32.Dalixi.a
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#1  木马程序Trojan.Win32.Dalixi.a

木马程序

Trojan.Win32.Dalixi.a

捕获时间

2011-03-27

危害等级



病毒症状

  该样本是使用“VC++”编写的木马程序,由微点主动防御软件自动捕获,长度为“ 14,848字节”,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播,病毒主要目的获取用户信息,下载恶意程序至用户主机运行。
   用户中毒后,会出现计算机及网络运行缓慢,系统及网络缓慢、程序无故关闭、出现各类病毒等导致用户隐私泄露及影响用户使用的现象。


感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)


图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan.Win32.Dalixi.a”,请直接选择删除(如图2)。


图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:

1、手动删除以下文件:

%SystemRoot%\system32\drivers\SoftDaemo.sys

2、手动删除以下注册表项:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SoftDaemo
名称: SoftDaemo  
数据:%SystemRoot%\system32\drivers\SoftDaemo.sys

变量声明:

%SystemDriver%         系统所在分区,通常为“C:\”
%SystemRoot%          系统所在目录,通常为“C:\Windows”
%Documents and Settings%    用户文档目录,通常为“C:\Documents and Settings”
%Temp%             临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%         系统程序默认安装目录,通常为:“C:\ProgramFiles”

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2011-3-27 17:18
查看资料  发短消息   编辑帖子
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#2  

病毒分析

1、比较自身是否为C:\WINDOWS\SYSTEM32\USERINIT.EXE,如果不是,则跳过继续运行;
2、如果病毒发现自身进程为C:\WINDOWS\SYSTEM32\USERINIT.EXE,会运行%SystemRoot%\system32\..\explorer.exe;
3、创建名称为SoftDaemo的服务,创建驱动文件%SystemRoot%\system32\drivers\SoftDaemo.sys,服务的路径指向该驱动文件,并且创建相应的注册表服务项,开启该服务,服务的主要目的是结束相关安全软件的进程;
4、创建线程,在线程中创建互斥体“3838”,防止多个实例运行;
5、获取本机的网卡地址、浏览器版本、系统时间、系统版本、用户名等信息,动态解析域名,创建socket通信,将获取的信息发送到黑客指定的网络地址;
6、创建socket通信,连接病毒网络http://crm.***.com:8899\n.txt,里面是加密的病毒网络下载列表;
7、打开病毒网络,下载恶意程序到本地%Temp%目录下并重命名为pbhmcv.exe(随机名),然后创建进程运行下载的病毒程序;
8、遍历文件查找%Temp%、%Local Settings%Temporary Internet Files、D:\history目录下的临时文件和下载的病毒文件,找到后删除这些文件;

病毒创建文件:

%SystemRoot%\system32\drivers\SoftDaemo.sys
%Temp%\随机名.exe

病毒创建注册表项:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SoftDaemo
名称: SoftDaemo  
数据:%SystemRoot%\system32\drivers\SoftDaemo.sys

病毒访问网络:

http://crm.***.com:8899/count.aspx
http://crm.***.com:8899\n.txt
http://www.ji***.com/1.rar
http://www.ji***.com/game.rar

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2011-3-27 17:19
查看资料  发短消息   编辑帖子



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]


北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号