木馬下載器
Trojan-Downloader.Win32.Small.afum
捕獲時間
2011-05-12
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“下載者程序”，由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“51,200”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。
病毒主要目的是下載病毒木馬。當用戶計算機感染此木馬病毒后,會出現系統無故報錯,并且發現未知進程,用戶電腦運行緩慢的等現象.
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Small.afum”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動刪除文件
刪除 %SystemRoot%\System32\mn.dll
刪除 %SystemRoot%\System32\deleteinstaller.txt
刪除 %SystemRoot%\System32\hplist.txt
刪除 %SystemRoot%\System32\mn_cfg.ini
刪除 %SystemRoot%\System32\mn_hp.dll
刪除 %SystemRoot%\System32\mn_mon.dll
刪除 %SystemRoot%\System32\CJ042402.css
刪除 %SystemRoot%\System32\tj1.css
刪除 %SystemRoot%\System32\hf.css
刪除 %SystemRoot%\System32\tool.css
刪除 %SystemRoot%\System32\feng.css
刪除 %Temp%該目錄下的可疑文件
2.手動刪除注冊表
刪除HKEY_CURRENT_USER\Software\feelgood
3.利用微點桌面流氓圖標清除工具進行系統清理。
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.該文件通過獲取注冊表信息：HKEY_CURRENT_USER\Software\feelgood，如果存在，就退出程序。
2.如果不存在，獲取系統目錄路徑，在該目錄下創建"C:\WINDOWS\System32\mn.dll"文件。
3.遍歷窗口查看是否有窗口類名為"Shell_TrayWnd"的窗口信息，找到以后獲取指定窗口的進程ID號，通過一套"OpenProcess""VirtualAllocEx"，"WriteProcessMemory"，"CreateRemoteThread"等API函數，進行線程注入。注入的目的是隱藏性的加載"C:\WINDOWS\System32\mn.dll"文件。
4.在系統目錄下創建"C:\WINDOWS\System32\deleteinstaller.txt "文件。
5.創建注冊表信息：HKEY_CURRENT_USER\Software\feelgood。
6.注入加載"C:\WINDOWS\System32\mn.dll"成功后，建立線程函數：首先讀取"C:\WINDOWS\System32\deleteinstaller.txt "文件，然后刪除之。
7.通過字符串的解密出網絡地址" http://121.****.169.****:15**/Count.asp"，然后遍歷進程，獲取用戶的進程數量以及用戶的MAC地址上傳到指定的網絡地址，用來統計被感染的電腦的數量。
8.在系統目錄下創建"C:\WINDOWS\System32\mn_cfg.ini"文件，創建"C:\WINDOWS\System32\mn_hp.dll"文件，創建"C:\WINDOWS\System32\mn_mon.dll"文件。
9.如果創建"C:\WINDOWS\System32\mn_mon.dll"文件成功。首先提升當前進程的權限級別為"SeDebugPrivilege"，然后通過GetPrivateProfileStringA函數讀取"C:\WINDOWS\System32\mn_cfg.ini"配置文件信息，并創建"C:\WINDOWS\System32\hplist.txt "文件，將配置文件的部分信息讀寫到"C:\WINDOWS\System32\hplist.txt "文件中，建立進程快照，查找"winlogon.exe"進程，如果找不到該進程，遍歷窗口查看是否有窗口類名為"Null"，標題為"Windows 任務管理?,F7,""的窗口信息，找到以后獲取指定窗口的進程ID號，通過一套線程注入等API函數，進行線程注入。注入的目的是隱藏性的加載" C:\WINDOWS\System32\mn_mon.dll "文件。如果找到該進程，進行線程注入到"winlogon.exe"進程中，注入的目的是隱藏性的加載"C:\WINDOWS\System32\mn_mon.dll "文件。
10.如果創建創建"C:\WINDOWS\System32\mn_mon.dll"文件不成功，通過GetPrivateProfileStringA函數讀取"C:\WINDOWS\System32\mn_cfg.ini"配置文件信息，建立線程函數：通過"InternetOpenA"，" InternetOpenUrlA "，" HttpQueryInfoA "，" InternetReadFile"等一些函數，將網絡資源上的文件創建到本地：
dl0= http://121.****.169.****:15**/download/CJ042402.css
dl1= http://121.****.169.****:15**/download/tj1.css
dl2= http://121.****.169.****:15**/download/hf.css
dl3= http://121.****.169.****:15**/download/tool.css
dl4= http://121.****.169.****:15**/download/feng.css
分別在系統目錄下為: "C:\WINDOWS\System32\CJ042402.css ","C:\WINDOWS\System32\tj1.css ","C:\WINDOWS\System32\hf.css ","C:\WINDOWS\System32\tool.css ","C:\WINDOWS\System32\feng.css ",循環建立這5個文件，并以分別建立各自的線程運行起來。
11.刪除文件"C:\WINDOWS\System32\mn_cfg.ini"文件，并休眠一段時間。通過字符串的解密出網絡地址，然后遍歷進程，獲取用戶的進程數量以及用戶的MAC地址上傳到指定的網絡地址，用來統計被感染的電腦的數量。如果存在"C:\WINDOWS\System32\mn_cfg.ini"文件，就不創建，如果不存在就創建"C:\WINDOWS\System32\mn_cfg.ini"文件，
12.建立線程函數，主要是繼續進行第6步操作。目的是用戶刪除這些文件時候，病毒自身又創建這些文件。
13. 注入加載"C:\WINDOWS\System32\mn_mon.dll"成功后，首先提升當前進程的權限級別為"SeDebugPrivilege"，并建立線程函數：獲取系統目錄路徑，將函數"CreateProcessW"進行掛鉤子處理，每次調用該函數時候，就會遍歷任務管理器窗口的窗口信息，找到以后獲取指定窗口的進程ID號，"CreateRemoteThread"等API函數，進行線程注入。注入的目的是隱藏性的加載"C:\WINDOWS\System32\ mn_hp.dll"文件。
14. 注入加載"C:\WINDOWS\System32\mn_hp.dll"成功后，獲取%SystemRoot%\System32\hplist.txt文件路徑，將文件里面的資源下載到臨時文件夾目錄下以隱藏進程的方式運行之。并將函數"ZwQuerySystemInformation"進行掛鉤子處理，運行完畢后刪除自身。
病毒創建文件：
%SystemRoot%\System32\mn.dll
%SystemRoot%\System32\deleteinstaller.txt
%SystemRoot%\System32\hplist.txt
%SystemRoot%\System32\mn_cfg.ini
%SystemRoot%\System32\mn_hp.dll
%SystemRoot%\System32\mn_mon.dll
%SystemRoot%\System32\CJ042402.css
%SystemRoot%\System32\tj1.css
%SystemRoot%\System32\hf.css
%SystemRoot%\System32\tool.css
%SystemRoot%\System32\feng.css
病毒創建注冊表：
HKEY_CURRENT_USER\Software\feelgood
病毒訪問網絡:
http://121.****.169.****:15**/Count.asp
http://121.****.169.****:15**/download/CJ042402.css
http://121.****.169.****:15**/download/tj1.css
http://121.****.169.****:15**/download/hf.css
http://121.****.169.****:15**/download/tool.css
http://121.****.169.****:15**/download/feng.css
