木馬下載者
Rootkit.Win32.Agent.b
捕獲時間
2010-6-23
危害等級
中
病毒癥狀
該樣本是使用“VC”編寫的下載者,由微點主動防御軟件自動捕獲，長度為“78,848字節”,圖標為“
”,病毒擴展名為“exe” ,病毒主要目的下載并運行指定網站的exe列表，讓受感染的系統速度變慢，并且開后門，使電腦用戶安全受到極大威脅｡
用戶中毒后,會出現計算機及網絡運行緩慢，出現各類病毒等導致用戶隱私泄露及影響用戶使用的現象,甚至導致不能進入系統。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
下載器傳播
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“間諜軟件”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Rootkit.Win32.Agent.b”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法(僅針對下載者，并不適用于下載后的病毒)：
1、手動刪除以下文件
%Sytemroot%\system.exe
2、手動刪除以下注冊表
鍵:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
值：system
數據：%Sytemroot%\system.exe
變量聲明:
%SystemDriver% 系統所在分區,通常為“C:\”
%SystemRoot% WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp% 臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄,通常為:“C:\ProgramFiles”
病毒分析：
(1)在%Systemroot%目錄下生成兩個XXXXXX(隨機名).dll
Adll大小為“26,624字節”，bdll大小為“8,704”字節
然后調用rundll32分別運行兩個dll導出的Execute函數.
(2)adll運行后在%ProgramFiles%\rav\處創建CDriver.sys和CDriver.inf，然后加載該驅動.
并Hook SSDT 的ExCreateProcessEx,防止安全軟件的運行.
然后遍歷當前運行的進程，如果有安全軟件進程，則發IRP殺之.
接著停止并刪除掉以下安全軟件的服務:
ZhuDongFangYu
360rp
RsRavMon
McNASvc
MpfService
McProxy
McShield
McODS
Mcmscsvc
McSysmon
Ekrn
PolicyAgent
并且查找進程是否有以下模塊,有則卸掉掉:
Safemon.dll
RavExt.dll
最后刪除掉CDriver.sys和CDriver.inf，unHook SSDT 的ExCreateProcessEx，退出。
(3)bdll運行后，會連接網絡下載病毒列表文件。
根據列表內容下載病毒。
病毒創建文件：
%ProgramFiles%\rav\CDriver.sys
%ProgramFiles%\rav\CDriver.inf
%SystemRoot%\xxxxxx.dll (隨機名)
%SystemRoot%\xxxxxx.dll (隨機名)
病毒刪除文件：
病毒本身
%ProgramFiles%\rav\CDriver.sys
%ProgramFiles%\rav\CDriver.inf
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\system
訪問網絡：
http://sh16.*****.com:8080/sh16/d.txt
1:http://sh16.*****.com:8080/ok.exe
1:http://sh16.*****.com:8080/a02.exe
1:http://sh16.*****.com:8080/a05.exe
1:http://sh16.*****.com:8080/a17.exe
1:http://sh16.*****.com:8080/a31.exe
1:http://sh16.*****.com:8080/a14.exe
1:http://sh16.*****.com:8080/a4.exe
1:http://sh16.*****.com:8080/a03.exe
1:http://sh16.*****.com:8080/a09.exe
1:http://sh16.*****.com:8080/a07.exe
1:http://sh16.*****.com:8080/a10.exe
1:http://sh16.*****.com:8080/a24.exe
1:http://sh16.*****.com:8080/a13.exe
1:http://sh16.*****.com:8080/a30.exe
1:http://sh16.*****.com:8080/a04.exe
1:http://sh16.*****.com:8080/a01.exe
1:http://sh16.*****.com:8080/a08.exe
1:http://sh16.*****.com:8080/a19.exe
1:http://sh16.*****.com:8080/a11.exe
1:http://sh16.*****.com:8080/a25.exe
1:http://sh16.*****.com:8080/a16.exe
1:http://sh16.*****.com:8080/a21.exe
1:http://sh16.*****.com:8080/a27.exe
1:http://sh16.*****.com:8080/a12.exe
1:http://sh16.*****.com:8080/a23.exe
1:http://sh16.*****.com:8080/a26.exe
1:http://sh16.*****.com:8080/a15.exe
1:http://sh16.*****.com:8080/a18.exe
1:http://sh16.*****.com:8080/a20.exe
1:http://sh16.*****.com:8080/a22.exe
1:http://sh16.*****.com:8080/a28.exe
1:http://sh16.*****.com:8080/a29.exe
1:http://sh16.*****.com:8080/a06.exe
1:http://sh16.*****.com:8080/a1.exe
1:http://sh16.*****.com:8080/a2.exe
1:http://sh16.*****.com:8080/a3.exe
1:http://sh16.*****.com:8080/a5.exe
1:http://sh16.*****.com:8080/b16.exe
1:http://sh16.*****.com:8080/k16.exe
1:http://sh16.*****.com:8080/tj.exe
1:http://sh16.*****.com:8080/down.exe
