木馬下載者
Trojan-Downloader.Win32.Agent.a
捕獲時間
2012-03-27
危害等級
中
病毒癥狀
該樣本是使用“Microsoft Visual C 6.0”編寫的“下載器”，由微點主動防御軟件自動捕獲,加殼后長度為“12,800”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播，病毒主要目的是指引用戶計算機到黑客指定的URL地址去下載更多的病毒或木馬后門文件并運行。
用戶中毒后會出現電腦的運行速度變慢，殺軟無故退出而不能啟動，出現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Agent.a ”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除以下文件：
%ProgramFiles%\Docmentt\ehexs.exe
%ProgramFiles%\DownTemp\*.*
手動刪除注冊表項：
項：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}
鍵：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}\ stubpath
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1、創建一個名為“DSDDDAAAAS”的事件對象，獲取系統安裝目錄，獲取樣本的路徑，創建文件"c:\SaveTxta716.txt"，將樣本的路徑寫入文件，比較是否為"C:\Program Files\Docmentt\ehexs.exe"。
2、如果不是，創建"C:\Program Files\Docmentt\"文件夾，判斷"C:\Program Files\Docmentt\ehexs.exe"是否存在，若存在則刪除它。
3、以拷貝的形式將樣本復制為"C:\Program Files\Docmentt\ehexs.exe"，以讀寫打開二進制文件的方式打開"C:\Program Files\Docmentt\ehexs.exe"，在文件尾加入空字符，改變文件的大小信息。
4、以創建線程的方式打開"C:\Program Files\Docmentt\ehexs.exe"。
5、獲取臨時文件夾的路徑，解密網址"http://424716.15****508.cn/424716.gif"，獲取當前系統的時間。
6、創建名為“716”的互斥體，防止文件重復運行。
7、創建一個線程，讀取"c:\SaveTxta716.txt"內容，找到樣本路徑，刪除樣本文件和該文件。
8、再創建第二個線程，，獲取當前文件路徑，刪除注冊表項HKEY_CURRENT_USER\ \SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}，創建項HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}，將鍵值設置為Versiob716，創建鍵名為stubpath鍵值為C:\Program Files\Docmentt\ehexs.exe的鍵。實現自啟動功能。
9、刪除"c:\windows\system32\taskmgr.exe"文件（任務管理器），睡眠5秒，獲取窗口的標題條文本，查找其中是否包含“捕”、“檢”、“監”、“數據包”、“Sniff”、“嗅”、“任務管理器”、“木馬”、“winsock”、“抓”、“IceSword” 、“VMware”，如果包含上述字符，則循環等待。
10、初始化網絡，打開http://424716.15****508.cn/424716.gif，將圖片保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\34359897.gif"，從文件中獲取字符串信息，解析出木馬下載鏈接。
11、創建"C:\Program Files\DownTemp\"文件夾，根據解析的網址下載木馬等程序，然后運行所下載的木馬程序。
12、刪除圖片"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\34359897.gif"。
13、獲取本機的mac地址，獲取用用戶標識符等信息，發送到指定網址"http://424716.15****508.cn/count.asp?mac=00-0c-29-53-e6-e4&userid=10"。
14、創建第三個線程，循環刪除該樣本所下載的木馬文件，彈出網頁http://www.s****w.com/index.htm。
15、休眠20分鐘，重復上述步驟。
病毒創建文件：
%SystemDriver%\SaveTxta716.txt
%ProgramFiles%\Docmentt\ehexs.exe
%Temp%\34359897.gif（文件名隨機）
%ProgramFiles%\DownTemp\*.*
病毒創建注冊表：
項：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}
鍵：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-B716-11d2-9CBD-0000F87A369E}\ stubpath
病毒刪除文件：
%SystemDriver%\SaveTxta716.txt
%Temp%\34359897.gif（文件名隨機）
%ProgramFiles%\DownTemp\*.*
%SystemRoot%\system32\taskmgr.exe
樣本自身文件
病毒訪問網絡：
http://424716.15****508.cn/424716.gif
http://www.s****w.com/index.htm
http://424716.15****508.cn/count.asp?mac=*********&userid=**
