木馬下載器
Trojan-Downloader.Win32.Small.adyq
捕獲時間
2010-10-05
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“下載者”，由微點主動防御軟件自動捕獲,長度為“473,204”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是下載病毒木馬。
當用戶計算機感染此木馬病毒后,會出現系統無故報錯,殺毒軟件自動退出無法啟動, Windows系統運行緩慢并且發現未知進程等現象.
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“RootKit程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Small.adyq ”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除文件
1. 刪除 X:\360SE.exe
2. 刪除 X:\dx.exe
3. 刪除 X:\a.vbs
4. 刪除 X:\b.vbs
5. 刪除 %SystemRoot%\system32\killdll.dll
6. 刪除 %SystemRoot%\system32\bhoajessc.exe
7. 刪除 %temp%\~Frm.exe
8. 刪除 %temp%\ _undelme.bat
9. 根據需要導入正確的asyncmac.sys，aec.sys,pcidump.sys 驅動文件。
手動刪除注冊表
1，手動刪除注冊表項：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數據：C:\WINDOWS\System32\updater.exe
2，手動刪除注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
下屬所有映像劫持
3，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\asyncmac.sys
4，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\aec.sys
5，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數據：\??\C:\WINDOWS\System32\drivers\pcidump.sys
6，刪除注冊表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\ClassicStartMenu
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
7，刪除注冊表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\NewStartPanel
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
8，根據需要添加開機啟動項
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.病毒首先設置環境變量名稱“sfxcmd”,“sfxname”,然后加載riched32.dll，riched20.dll運行之。
2.病毒建立文件“X:\360SE.exe”,“X:\dx.exe”,以及“X:\a.vbs”,“X：\b.vbs腳本文件,以及圖標文件“X：\o.ico”.并設置這些文件為隱藏屬性。
3.病毒打開文件“C:\WINDOWS\system32\wscript.exe”,然后建立進程，啟動腳本文件X:\a.vbs
a.vbs內容如下：
iReturn=objShell.Run("cmd.exe /C start dx.exe",0,TRUE)
iReturn=objShell.Run("cmd.exe /C start 360SE.exe",0,TRUE)
iReturn=objShell.Run("cmd.exe /C start b.vbs",0,TRUE)
4.“360SE.exe”文件獲得系統目錄，在該目錄下釋放文件“C:\WINDOWS\system32\bhoajessc.exe
5,“ bhoajessc.exe”文件，建立進程快照，查找當前進程，并且獲得系統目錄 ，在該目錄下建立文件“C:\WINDOWS\system32\killdll.dll”,并以隱藏窗口的形式啟動進程CmdLine = “C:\WINDOWS\System32\rundll32.exe C:\WINDOWS\System32\killdll.dll killall”
6，C:\WINDOWS\System32\killdll.dll獲取自身自身權限信息，并將自身權限提升為SeDebugPrivilege權限。
建立進程快照，查找進程名“CCenter.exe”,如果找到以后，先將C:\WINDOWS\system32\drivers\ asyncmac.sys文件刪除之，并重新建立C:\WINDOWS\system32\drivers\ asyncmac.sys，修改注冊表，建立服務項。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\asyncmac.sys
7，調用命令行，禁用ESET NOD32的服務項，并結束相關進程：
"cmd /c sc config ekrn start= disabled"
"cmd /c taskkill /im ekrn.exe /f"
以及卡巴斯基的服務項，并結束之：
"cmd /c sc config avp start= disabled"
"cmd /c taskkill /im avp.exe /f"
以及McAfee的服務項，并取消該殺軟的服務啟動：
"cmd /c sc config McNASvc start= disabled"
"cmd /c sc config MpfService start= disabled"
"cmd /c sc config McProxy start= disabled"
"cmd /c sc config McShield start= disabled"
"cmd /c sc config mcmscsvc start= disabled"
"cmd /c sc config Mcshield start= disabled"
以及BitDefenderProfessional的服務項并取消該殺軟的服務啟動：
"cmd /c sc config XCOMM start= disabled"
"cmd /c sc config LIVESRV start= disabled"
"cmd /c sc config scan start= disabled"
"cmd /c sc config VSSERV start= disabled"
8，C:\WINDOWS\system32\drivers\ asyncmac.sys ，從0環結束安全軟件進程。查找大量安全軟件進程，一旦發現則立即結束。完成后建立所有查找的安全軟件的映像劫持。
安全進程名稱為：
"avp.exe"、"safeboxTray.exe"、"360Safebox.exe"、"360tray.exe"、"antiarp.exe"
、"ekrn.exe"、"RsAgent.exe"、"egui.exe"、"RavMon.exe"、"RavMonD.exe"
、"RavTask.exe"、"AAglvgp,gzg"、"RavStub.exe"、"RsTray.exe"、"ScanFrm.exe"
、"Rav.exe"、"AgentSvr.exe"、"AAglvgp,gzg"、"QQDoctor.exe"、"McProxy.exe"
、"McNASvc.exe"、"Mcshield.exe"、"rsnetsvr.exe"、"MpfSrv.exe"、"MPSVC.EXE"
、"MPSVC3.EXE"、"IKQQta,gzg"、"IKQQta,gzg"、"kmailmon.exe"、"KavStart.exe"
、"KPFW32.EXE"、"KVMonXP.KXP"、"KVSrvXP.exe"、 "ccSetMgr.exe"、"ccEvtMgr.exe"、"defwatch.exe"、"rtvscan.exe"、"ccapp.exe"
、"vptray.exe"、"mcupdmgr.exe"、"mcproxy.exe"、"mcshield.exe"、"MPFSrv.exe"
、"mcsysmon.exe"、"mcmscsvc.exe"、"mcnasvc.exe"、"mcagent.exe"、"mcshell.exe"
、"mcinsupd.exe"、"bdagent.exe"、"livesrv.exe"、"vsserv.exe"、"xcommsvr.exe"
對應的映像劫持路徑為：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
然后刪除驅動文件“C:\WINDOWS\system32\drivers\ asyncmac.sys”
9,C:\WINDOWS\System32\killdll.dll先將"C:\WINDOWS\System32\drivers\aec.SYS"文件刪除之，
并重新建立C:\WINDOWS\System32\drivers\aec.SYS
修改注冊表，建立服務項。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\aec.sys
10,"C:\WINDOWS\System32\drivers\aec.sys"恢復SSDT來解除安全軟件建立的系統鉤子, 然后刪除驅動文件“C:\WINDOWS\system32\drivers\aec.sys”
以隱藏方式取消服務項的啟動，內容為：
"cmd /c sc config RavTask start= disabled"
"cmd /c sc config RsScanSrv start= disabled"
"cmd /c sc config RavTray start= disabled"
"cmd /c sc config RsRavMon start= disabled"
"cmd /c sc config RavCCenter start= disabled"
11，刪除注冊表項：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，使所有的應用程序啟動項無法啟動，然后重新建立注冊表啟動項。
12，“bhoajessc.exe”文件獲得臨時文件路徑%temp%,在該目錄下釋放文件%temp%\~Frm.exe,并執行之：
%temp%\~Frm.exe 文件建立注冊表啟動項，
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數據：C:\WINDOWS\System32\updater.exe
以便到底自啟動的目的，~Frm.exe獲得臨時文件路徑，在該目錄下釋放文件%temp%\tmp.tmp，然后建立"C:\WINDOWS\System32\svchost.exe"進程，對該進程進行寫內存操作，并建立遠程線程注入，以及將用戶的網卡地址發送到黑客指定的網站。訪問指定網址，下載大量病毒程序并運行。
13，“bhoajessc.exe”文件刪除“C:\WINDOWS\System32\killdll.dll”，并獲得系統目錄路徑，將"C:\WINDOWS\system32\bhoajessc.exe"重新名為"C:\WINDOWS\System32\updater.exe"，并且獲取系統路徑，創建驅動文件%SystemRoot%\system32\drivers\pcidump.sys，
創建服務項并修改修改注冊表信息：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數據：\??\C:\WINDOWS\System32\drivers\pcidump.sys
完成后將其加載為服務項。將建立管道"\\.\pcidump"，與驅動文件進行通信，然后刪除pcidump.sys和對應服務項。
14，病毒在臨時文件路徑下創建批處理文件%temp%\ _undelme.bat, 完成后運行該批處理文件，刪除病毒源程序和批處理自身。
15，X:\dx.exe文件創建鍵盤和鼠標消息鉤子，監控用戶信息。
16，X:\b.vbs腳本文件：創建IE的快捷方式，讓IE指向黑客指定的網站，刪除系統默認瀏覽器快捷方式，修改注冊表信息：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\ClassicStartMenu
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\NewStartPanel
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
病毒創建文件：
X:\360SE.exe
X:\dx.exe
X:\a.vbs
X:\b.vbs
%SystemRoot%\system32\killdll.dll
%SystemRoot%\system32\bhoajessc.exe
%SystemRoot%\system32\drivers\asyncmac.sys
%SystemRoot%\System32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%temp%\~Frm.exe
%temp%\ _undelme.bat
(X為病毒源程序所在路徑）
病毒刪除文件：
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\pcidump.sys
%temp%\ _undelme.bat
病毒刪除注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\（清空）
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safebox.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\antiarp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ekrn.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mfeann.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\egui.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AAglvgp,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsTray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ScanFrm.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AAglvgp,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McProxy.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McNASvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Mcshield.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rsnetsvr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MpfSrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPSVC.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPSVC3.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IKQQta,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kmailmon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KavStart.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.KXP
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSetMgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccEvtMgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\defwatch.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rtvscan.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccapp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vptray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcupdmgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcproxy.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshield.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPFSrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcsysmon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcmscsvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcnasvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcagent.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshell.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcinsupd.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdagent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\livesrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsserv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\xcommsvr.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\asyncmac.sys
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\aec.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數據：C:\WINDOWS\System32\updater.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數據：\??\C:\WINDOWS\System32\drivers\pcidump.sys
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\ClassicStartMenu
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\NewStartPanel
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
病毒訪問網絡:
http://www.******.cn/Count/count.asp?mac=00c029f27116&xxx=11
http://www.******.cc
