一级特黄性生活大片免费观看-一级特黄性色生活片-一级特黄性色生活片一区二区-一级特黄视频-国产最新视频-国产最新精品

捕獲時間

2008-10-23

病毒摘要

該樣本是使用“VC”編寫的下載器，由微點主動防御軟件自動捕獲，采用“UPX”加殼方式試圖躲避特征碼掃描,加殼后長度為10,240 字節，圖標為，病毒擴展名為exe，主要通過"網頁木馬"、"文件捆綁"的方式傳播，病毒主要從網絡下載木馬至本地運行。


感染對象

Windows 2000/Windows XP/Windows 2003

傳播途徑

網頁木馬、文件捆綁

防范措施

已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜軟件”，請直接選擇刪除處理（如圖1）；

   圖1 主動防御自動捕獲未知病毒（未升級）

如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Trojan-Downloader.Win32.Agent.ailv”，請直接選擇刪除（如圖2）。

     
圖2   升級后截獲已知病毒

對于未使用微點主動防御軟件的用戶，微點反病毒專家建議：
1、不要在不明站點下載非官方版本的軟件進行安裝，避免病毒通過捆綁的方式進入您的系統。
2、盡快將您的殺毒軟件特征庫升級到最新版本進行查殺，并開啟防火墻攔截網絡異常訪問，如依然有異常情況請注意及時與專業的安全軟件廠商聯系獲取技術支持。
3、開啟windows自動更新，及時打好漏洞補丁。

病毒分析

該樣本程序被執行后,在目錄“%SystemRoot%\system32\”下釋放動態鏈接庫文件“easydownload.dll”，修改上述文件創建時間為“2004年”以增強隱蔽性；以服務的形式加載啟動此鏈接庫文件；在“%SystemRoot%\system32\drivers\”目錄下釋放驅動文件“EASYDOWNS.sys”,調用SCM寫注冊表，將驅動注冊成名為“FTP”的服務，使用相關API函數啟動被注冊的服務，驅動作用：恢復SSDT，解除部分殺毒軟件監控；病毒使用命令行執行自刪除。

文件“easydownload.dll”被加載執行后，遍歷進程查找
PEiD.exe
ollyice.exe
ollydbg.exe
peditor.exe
lordpe.exe
c32asm.exe
importrec.exe
使用函數TerminateProcess結束上述進程。
使用映像劫持手段劫持如下安全軟件：
360Safe.exe
kav32.exe
kvmonxp.exe
nod32kui.exe
Rav.exe
avp.exe
將其重定向到“%systemroot%\system32\codebygt.dll”；
查找當前進程是否存在“iexplore.exe”，若存在則申請內存注入一段代碼，執行遠程線程將代碼作為其一個線程運行；否則調用相關函數查找IE安裝路徑使用WinExec以隱藏方式啟動，申請空間寫入自身代碼之后執行，訪問惡意網站http ://lg**.3322.org/下載病毒程序1.exe--10.exe并運行。