木馬下載者
Trojan-Downloader.Win32.Perkesh.gh
捕獲時間
2011-02-20
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的下載者程序，由微點主動防御軟件自動捕獲,采用“UPX”加殼方式，長度為“29,696 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為下載惡意程序至用戶主機運行。
用戶中毒后，會出現計算機及網絡運行緩慢，出現未知進程和服務，系統及網絡緩慢、程序無故關閉、出現各類病毒等導致用戶隱私泄露及影響用戶使用的現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Perkesh.gh”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%Temp%\~1251578.kx
%TEMP%\~843765.exe
C:\WINDOWS\system32\48w9Q.exe
%Temp%\~9e9838.dat
2、手動刪除以下注冊表項：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
Avp.exe、safeboxtray.exe、360tray.exe、egui.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aav
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vb
DisplayName：vb ImagePath:%Temp%\~843765.ex
3、修復被病毒修改的hosts文件
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒首先創建互斥體“ffgio”，防止程序多次運行，如果創建失敗，退出自身進程；
2、嘗試打開wscsvc（windows安全中心）服務，然后停止該服務；
3、創建進程快照查找egui.exe和ekrn.exe進程，如果找到，結束進程并停止相關的服務；
4、創建進程快照，遍歷進程查找Ras.exe、rsmain.exe、rsnetsrv.exe、scanfrm.exe、ravtask.exe、ccenter.exe、rfwsrv.exe、rstray.exe、ravmond.exe、kpswsvc.exe、kavstart.exe、kaccore.exe、kpfw32.exe、kissvc.exe、kwatch.exe、kamilmon.exe，如果找到，通過釋放進程的內存來結束進程；
5、再次遍歷進程查找avp.exe、360tray.exe、safeboxtray.exe進程；如果找到，會在%Temp%目錄下創建動態庫文件~1251578.kx（隨機名），通過調用%SystemRoot%\system32\rundll32.exe以參數“zzz”加載該動態鏈接庫,動態庫加載后，創建名為"aav"的服務，通過該服務將殺軟進程終止，并刪除相關服務，然后鏡像劫持殺軟，病毒會不斷枚舉當前窗口，一旦找到與反病毒相關的窗口就會將其退出；
6、釋放驅動文件%TEMP%\~843765.ex,并釋放同名病毒程序%TEMP%\~843765.exe,創建注冊表，實現病毒開機自啟動
7、在系統目錄下創建文件C:\WINDOWS\system32\48w9Q.exe（隨機名），提高該文件進程權限；打開服務管理器，創建名為"vb"的服務，加載驅動文件%TEMP%\~843765.ex，通過該驅動將病毒代碼寫入%SystemRoot%\System32\userinit.exe,完成感染userinit.exe，完成后刪除~843765.ex；
8、創建名為“\\.\ao1”的設備，通過該設備與內核進行通信，執行%TEMP%\~843765.exe；~843765.exe運行后，比較自身是否為userinit.exe；
如果不是，病毒會創建名為“aprv”互斥體，然后創建線程，獲得當前進程列表，查找進程"qq.exe"和"cmd.exe"是否存在，如果找到進程"qq.exe"，則收集該進程對應程序的使用相關信息，連同被感染機器的Mac地址一起發送到病毒指定網址，如果找到進程"cmd.exe"，則終止該進程；
9、循環枚舉窗口，如果發現cmd窗口開啟，便發送消息使該窗口退出；
10、連接病毒網絡，獲得網絡資源列表，將讀取的資源信息保存到%Temp%\~9e9838.dat(隨機名)，讀取下載的~9e9838.dat信息，下載大量病毒到本地運行；
11、訪問網絡讀取資源，將其內容寫入%SystemRoot%\system32\drivers\etc\hosts文件，完成hosts文件的修改；收集并統計被感染主機的系統相關信息，發送到指定網址；
12、鏡像劫持egui.exe,并設置下次系統重啟刪除驅動文件%TEMP%\~843765.ex和病毒自身；
病毒創建文件：
%Temp%\~1251578.kx
%TEMP%\~843765.ex
%TEMP%\~843765.exe
C:\WINDOWS\system32\48w9Q.exe
%Temp%\~9e9838.dat
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
Avp.exe、safeboxtray.exe、360tray.exe、egui.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aav
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vb
DisplayName：vb
ImagePath:%Temp%\~843765.ex
病毒訪問網絡：
http://to.**.com:81/fc/in11.txt
http://208.**.161.76:585/hs/0.exe
http://208.**.161.76:585/hs/1.exe
http://208.**.161.76:585/hs/2.exe
http://208.**.161.76:585/hs/3.exe
http://208.**.161.76:585/hs/4.exe
http://208.**.161.76:585/hs/5.exe
http://208.**.161.76:585/hs/6.exe
http://208.**.161.76:585/hs/7.exe
http://208.**.161.76:585/hs/8.exe
http://208.**.161.76:585/hs/9.exe
http://208.**.161.76:585/hs/10.exe
http://208.**.161.76:585/hs/11.exe
http://208.**.161.76:585/hs/12.exe
http://208.**.161.76:585/hs/13.exe
http://208.**.161.76:585/hs/14.exe
http://208.**.161.76:585/hs/15.exe
http://208.**.161.76:585/hs/16.exe
http://208.**.161.76:585/hs/17.exe
http://208.**.161.76:585/hs/18.exe
http://208.53.161.76:585/hs/19.exe
http://208.**.161.76:585/hs/20.exe
http://208.**.161.76:585/hs/21.exe
http://208.**.161.76:585/hs/22.exe
http://208.**.161.76:585/hs/23.exe
http://208.**.161.76:585/hs/24.exe
http://208.**.161.76:585/hs/25.exe
http://208.**.161.76:585/hs/27.exe
http://208.**.161.76:585/hs/28.exe
http://208.**.161.76:585/hs/29.exe
http://208.**.161.76:585/hs/30.exe
http://208.**.161.76:585/hs/31.exe
http://208.**.161.76:585/hs/32.exe
http://208.**.161.76:585/tj/t11.exe
http://208.**.161.76:585/hs/35.exe
http://208.**.161.76:585/hs/26.exe
