木馬下載者
Trojan-Downloader.Win32.Generic.btv
捕獲時間
2012-08-30
危害等級
中
病毒癥狀
該樣本是使用“C/C ”編寫的“下載者”，由微點主動防御軟件自動捕獲,采用“UPX”加殼，企圖避過殺軟掃描，加殼后長度為“29,696”字節，圖標為"
"，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播，病毒主要目的是惡意修改用戶系統并下載更多的病毒或木馬后門文件運行。
用戶中毒后會出現電腦的運行速度變慢，殺軟無故退出而不能啟動，出現大量未知進程等現象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Generic.btv”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動停止并刪除服務：
"vb"、"aav"
2.手動刪除以下文件：
"%Temp%\~3.kx(數字3隨機)"
"%Temp%\~3.ex(數字3隨機)"
"%Temp%\~3.exe(數字3隨機)"
"%SystemRoot%\system32\QHUFB.exe(文件名隨機)"
"%Temp%\~4.dat(文件名隨機)"
"%Temp%\***(***為隨機數字)"
"%Temp%\pci.sys"
3.將"%SystemRoot%\system32\userinit.exe"用正常文件替換
4.手動修改注冊表項：
刪除鍵值項"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run\msconfig"
刪除鍵"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\currentVersion\image file Execution options\egui.exe"
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.創建名字為"ffgio"的互斥對象，防止重復運行。
2.停止"wscsvc"服務，創建進程快照，查找"ekrn.exe"、"egui.exe"、"ras.exe"、"rsmain.exe"、"rsnetsvr.exe"、"ravtask.exe"、"rstray.exe"、 "kavstart.exe"、"kpfwsvc.exe"、"ccenter.exe"、"scanfrm.exe"、"ravmond.exe"、"kissvc.exe"、 "kamilmon.exe"、"kpfw32.exe"、"kaccore.exe"、"rfwsrv.exe"、"kwatch.exe"等殺軟進程，并通過禁用"ekrn"服務、執行"taskkill /f /im ekrn.exe"、"taskkill /f /im egui.exe"等命令以及釋放殺軟進程內存空間的方式結束掉殺軟進程。
3.如果存在"360tray.exe"、"safeboxtray.exe"、"avp.exe"等進程，則獲取系統緩存目錄，創建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.kx(數字3隨機)"，寫入病毒數據，創建新進程，執行"C:\windows\system32\rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.kx,zzz 3240"。
4.獲取系統緩存目錄，創建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.ex(數字3隨機)"，寫入病毒數據。
5.獲取系統緩存目錄，創建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.exe(數字3隨機)"，寫入病毒數據并執行。
6.獲取系統目錄，創建文件"C:\WINDOWS\system32\QHUFB.exe(文件名隨機)"，寫入病毒數據。
7.設置鍵值項"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Run\msconfig" = "C:\WINDOWS\system32\QHUFB.exe"，實現病毒開機自啟動。
8.將當前進程權限提升為調試特權級，創建名字為"vb"的服務，執行映像執行"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.ex"，并啟動此服務，之后刪除文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.ex"。
9.打開設備"\\.\ao1"，發送控制請求，修改系統文件"C:\WINDOWS\system32\userinit.exe"。
10.創建注冊表鍵"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\currentVersion\image file Execution options\egui.exe"，設置"Debugger" = "services.exe"，實現映像劫持。
11.設置文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~3.ex"以及病毒文件自身重啟刪除。
12.文件"~3.exe"運行之后，結束"qq.exe"、"cmd.exe"等進程，下載文件"http://inl7.n12z.com:81/new/in7.txt"保存為"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~4.dat(文件名隨機)"，讀取其中地址如"http://173.208.202.221:168/tt/**.exe(**為數字)
"并下載為文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\***(***為隨機數字)"執行。
13."~3.kx"加載到系統中之后：
（1）獲取系統緩存目錄，創建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pci.sys"，解密病毒數據寫入該文件。
（2）創建名字為"aav"的服務，執行映像指向"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pci.sys"，之后啟動此服務。
（3）打開設備"\\.\aav"，發送控制請求，修改當前進程權限可以直接訪問底層硬件。
（4）之后停止并刪除"aav"服務，并刪除文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pci.sys"。
病毒創建文件：
"%Temp%\~3.kx(數字3隨機)"
"%Temp%\~3.ex(數字3隨機)"
"%Temp%\~3.exe(數字3隨機)"
"%SystemRoot%\system32\QHUFB.exe(文件名隨機)"
"%Temp%\~4.dat(文件名隨機)"
"%Temp%\***(***為隨機數字)"
"%Temp%\pci.sys"
病毒修改注冊表：
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msconfig"
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\currentVersion\image file Execution options\egui.exe"
病毒刪除文件：
"%Temp%\~3.ex(數字3隨機)"
病毒文件自身
"%Temp%\pci.sys"
病毒訪問網絡:
"http://inl7.n12z.com:81/new/in7.txt"
"http://1*3.**8.2**.221:168/tt/0.exe"
"http://1*3.**8.2**.221:168/tt/1.exe"
"http://1*3.**8.2**.221:168/tt/2.exe"
"http://1*3.**8.2**.221:168/tt/3.exe"
"http://1*3.**8.2**.221:168/tt/4.exe"
"http://1*3.**8.2**.221:168/tt/5.exe"
"http://1*3.**8.2**.221:168/tt/6.exe"
"http://1*3.**8.2**.221:168/tt/7.exe"
"http://1*3.**8.2**.221:168/tt/8.exe"
"http://1*3.**8.2**.221:168/tt/9.exe"
"http://1*3.**8.2**.221:168/tt/10.exe"
"http://1*3.**8.2**.221:168/tj/t7.exe"
"http://1*3.**8.2**.221:168/tt/11.exe"
"http://1*3.**8.2**.221:168/tt/12.exe"
"http://1*3.**8.2**.221:168/tt/13.exe"
"http://1*3.**8.2**.221:168/tt/14.exe"
"http://1*3.**8.2**.221:168/tt/15.exe"
"http://1*3.**8.2**.221:168/tt/16.exe"
"http://1*3.**8.2**.221:168/tt/17.exe"
"http://1*3.**8.2**.221:168/tt/18.exe"
"http://1*3.**8.2**.221:168/tt/19.exe"
"http://1*3.**8.2**.221:168/tt/20.exe"
"http://1*3.**8.2**.221:168/tt/21.exe"
"http://1*3.**8.2**.221:168/tt/22.exe"
"http://1*3.**8.2**.221:168/tt/23.exe"
"http://1*3.**8.2**.221:168/tt/24.exe"
"http://1*3.**8.2**.221:168/tt/25.exe"
"http://1*3.**8.2**.221:168/tt/27.exe"
"http://1*3.**8.2**.221:168/tt/28.exe"
"http://1*3.**8.2**.221:168/tt/29.exe"
"http://1*3.**8.2**.221:168/tt/30.exe"
"http://1*3.**8.2**.221:168/tt/31.exe"
"http://1*3.**8.2**.221:168/tt/32.exe"
"http://1*3.**8.2**.221:168/tt/33.exe"
"http://1*3.**8.2**.221:168/tt/34.exe"
"http://1*3.**8.2**.221:168/tt/35.exe"
"http://1*3.**8.2**.221:168/tt/36.exe"
"http://1*3.**8.2**.221:168/tt/37.exe"
"http://1*3.**8.2**.221:168/tt/26.exe"
"http://1*3.**8.2**.221:168/tt/38.exe"
