偽裝輸入法
Trojan-Downloader.Win32.Geral.g
捕獲時間
2010-4-21
危害等級
中
病毒癥狀
該樣本是使用“Visual C /C”編寫的木馬下載器，由微點主動防御軟件自動捕獲。長度為“35,840”字節，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“移動存儲介質”等方式傳播。病毒主要目的是下載安裝病毒木馬。
用戶中毒后，會出現出現網絡異常連接，安全軟件無故退出，系統輸入法中出現未知輸入法，發現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳染途徑
網頁掛馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知后門程序“，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Geral.g”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除以下文件：
%SystemRoot%\system32\winner.ime
%SystemRoot%\system\pciaz.sys
%SystemRoot%\Fonts\nhr.ini
2.手動刪除以下注冊表：
HKEY_CURRENT_USER\Keyboard Layout\Preload
刪除注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下的映像劫持項
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析:
1.病毒運行后，釋放病毒文件%SystemRoot%\system32\winner.ime,并修改其創建時間，設置為系統隱藏屬性。
2.加載運行winner.ime，創建進程快照，查找以下進程kavstart.EXE、kav32.exe、Mctray.exe、Rtvscan.exe、mcshield.exe。如果找到則打開該進程，獲取退出代碼退出該進程。
3.加載系統庫文件獲取相關函數，將winner.ime作為輸入法文件安裝在本地機器上。獲取并激活鍵盤布局，建立注冊表項HKEY_CURRENT_USER\Keyboard Layout\Preload記錄信息。更改用戶默認的輸入法為新安裝的輸入法。使用戶使用輸入法時便會加載病毒文件運行。啟動進程explorer.exe并激活輸入法運行病毒。
4.檢查自身所在的模塊如果注入安全軟件中則退出自身。
5.如果自身在explorer.exe中運行則創建線程執行相關功能。釋放病毒文件到%SystemRoot%\system\pciaz.sys.打開服務管理器，創建名為pcif的服務加載運行該驅動文件提升自身權限，遍歷進程查找以下進程“360tray.exe”，“ekrn.exe”，“egui.exe”，“nod32krn.exe”，“nod32kui.exe”，“360safe.exe”，“safeboxTray.exe”,“360safebox.exe”，“krnl360svc.exe”，“ZhuDongFangYu.exe”，“rstray.exe”，“ravmond.exe”，“360sd.exe”，“avp.exe”，“360rp.exe”，“kavstart.exe”，“kwatch.exe”,“kswebshield.exe”，“Mcshield.exe” 如果發現則傳入驅動關閉安全軟件進程，并試圖從注冊表讀取安全軟件安裝路徑，并傳入驅動，破壞安全軟件文件，成功后刪除驅動文件。
6.創建線程創建線程，監視窗口名字，如果發現是IceSword則關閉該程序。創建線程循環向注冊表寫入數據劫持大量安全軟件進程。創建線程，病毒運行一段時間后從指定網址下載包含病毒文件地址的加密配置文件到%SystemRoot%\Fonts\nhr.ini，并解密出該文件中的網址信息，從該指定網址下載大量未知病毒木馬運行。
病毒創建文件：
%SystemRoot%\system32\winner.ime
%SystemRoot%\system\pciaz.sys
%SystemRoot%\Fonts\nhr.ini
病毒創建注冊表：
HKEY_CURRENT_USER\Keyboard Layout\Preload
病毒訪問網絡:
http://s.dba**.com/s.txt
