蠕蟲程序
Worm.Win32.Agent.wea
捕獲時間
2011-04-23
危害等級
中
病毒癥狀
該樣本是使用“C/C ”編寫的木馬程序，由微點主動防御軟件自動捕獲，長度為“58,368”字節，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的是感染本機非系統磁盤，并創建后門使本機淪為傀儡主機。
用戶中毒后，會出現系統運行緩慢、存在大量未知可疑進程、系統重要資料丟失等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Worm.Win32.Agent.wea”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除以下文件：
%SystemRoot%\system\llzjy080908.exe
%Documents and Settings%\All Users\lljydf16.ini
非系統磁盤根目錄\auto.exe
非系統磁盤根目錄\AutoRun.inf
%SystemRoot%system\zjj32dla.dll
%SystemDriver%\dfDelmlljy.bat
2.手動刪除以下注冊表項：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\run\
名稱：dlnjj_df
數據：C:\windows\system32\llzjy080908.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\EnableAutodial
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1.該樣本運行后，打開以下注冊表項，獲取其子鍵Startup的數據：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
2.創建進程快照查找"avp.exe"、"runiep.exe"、"kvxp.kxp"、"360tray.exe"、"rstray.exe"等殺軟進程，若找到則嘗試強行關閉。
3.復制自身到"%SystemRoot%\system\"目錄下，并更名為"llzjy080908.exe"。
4.在"%Documents and Settings%\All Users"目錄下創建配置文件"lljydf16.ini"用于寫病毒路徑。
5.將自身復制到本機非系統盤的根目錄下，更名為"auto.exe"，并將文件屬性設置為系統、隱藏。
6.在非系統盤的根目錄下創建"AutoRun.inf"文件，設置文件屬性為只讀、隱藏，配置內容指向"auto.exe"，在用戶打開磁盤時，達到重復感染的目的。
7.操作以下注冊表項，達到病毒開機運行的目的：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\run\
名稱：dlnjj_df
數據：C:\windows\system32\llzjy080908.exe
8.創建以下注冊表項目：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\EnableAutodial
9.在"%SystemRoot%\system32"目錄下創建動態呢鏈接庫文件"zjj32dla.dl"。
10.隱藏運行本機IE瀏覽器，并將"zjj32dla.dl"注入到進程中，創建后門，使本機淪為傀儡。
11.在本機"%SystemDriver%"目錄下創建并運行批處理文件"dfDelmlljy.bat"，達到刪除病毒源文件的目的。
病毒創建文件：
%SystemRoot%\system\llzjy080908.exe
%Documents and Settings%\All Users\lljydf16.ini
非系統磁盤根目錄\auto.exe
非系統磁盤根目錄\AutoRun.inf
%SystemRoot%system\zjj32dla.dll
%SystemDriver%\dfDelmlljy.bat
病毒修改注冊表：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\run\
名稱：dlnjj_df
數據：C:\windows\system32\llzjy080908.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\EnableAutodial
