木馬下載器
Trojan-Downloader.Win32.Agent.bdh
捕獲時間
2009-8-17
危害等級
高
病毒癥狀
該樣本是使用“VC”編寫的木馬下載器，由微點主動防御軟件自動捕獲，采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“24,576 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為下載大量病毒并運行。
用戶中毒后，會出現Windows安全中心被禁用、已打開的命令控制臺窗口無故退出、部分殺毒軟件無法運行或無故退出、系統運行緩慢、網絡速度降低、出現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003
傳播途徑
網頁木馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現"Trojan-Downloader.Win32.Agent.bdh”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動修復以下文件：
拷貝相同版本文件到: %SystemRoot%\System32\userinit.exe
拷貝新的文件到: %SystemRoot%\System32\dirvers\etc\hosts
2、手動刪除以下文件：
%TEMP%\~3.t
%TEMP%\~15.tmp
3、手動刪除以下注冊表值：
鍵: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp
鍵: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\zx
4、手動恢復以下注冊表：
鍵:HKEY_CLASSES_ROOT\Microsoft.XMLHTTP\CurVer\
值:[默認]
數據: Microsoft.XMLHTTP.1.0
鍵: HKEY_CLASSES_ROOT\Microsoft.XMLHTTP\CLSID\
值:[默認]
數據: {ED8C108E-4349-11D2-91A4-00C04F7969E8}
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
（1）創建互斥體，防止多次運行，關閉Windows安全中心服務。
（2）隱式執行cmd.exe,查找控制臺窗口是否存在，若找到，繼續執行，否則直接退出。
（3）獲得進程快照，查找殺毒軟件相關進程，若找到進程360tray.exe、safeboxtray.exe、avp.exe，釋放動態鏈接庫%TEMP%\~3.t，,并調用rundll32.exe加載，通過安裝服務的方式，將其相關服務和進程終止，通過創建注冊表對avp.exe作映像劫持，之后釋放文件%TEMP%\~15.tmp、%TEMP%\~16.tmp（文件名隨機生成）。
（4）執行~15.tmp,判斷自身是否為userinit.exe,若是，執行Explorer.exe。創建線程,獲得進程快照,查找進程qq.exe是否存在，若找到，統計感染機器的系統相關信息，發送到指定網址;若沒找到qq.exe，則繼續查找是否有進程cmd.exe,如果找到，將其進程終止。
（5）從目標網址下載大量病毒到本地%TEMP%目錄下，并執行。
（6）讀取目標網址數據，將其下載并替換文件%SystemRoot%\System32\dirvers\etc\hosts。
（7）統計感染機器的網絡信息，發送到指定網址。
（8）從目標網址下載病毒更新程序到%TEMP%目錄，執行后更新病毒自身。
（9）提升自身權限，創建名為"zx"的服務，加載驅動~16.tmp并啟動，將病毒代碼寫入%SystemRoot%\System32\userinit.exe,感染userinit.exe,實現病毒自啟動。
（10）設置下次系統重啟刪除文件~16.tmp和病毒自身。
病毒創建文件：
%TEMP%\~3.t
%TEMP%\~16.tmp
%TEMP%\~15.tmp
病毒修改文件：
%SystemRoot%\System32\userinit.exe
病毒刪除文件：
%TEMP%\~16.tmp
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ccddc
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\zx
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp
病毒刪除注冊表：
HKEY_CLASSES_ROOT\Microsoft.XMLHTTP\CurVer\[默認]
HKEY_CLASSES_ROOT\Microsoft.XMLHTTP\CLSID\[默認]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ccddc
病毒訪問網絡：
http://www1.fdc***8.cn/c2/getmac.asp
http://www1.fdc***8.cn/w1/getmac.asp
http://txt.i***k.com/xx.txt
http://txt.i***k.com/ad.txt
http://d.n***s.com/xx.exe
http://1.y***s.com
