木馬下載器
Trojan-Downloader.Win32.Geral.bwm
捕獲時間
2010-10-28
危害等級
中
病毒癥狀
該樣本是使用“C/VC ”編寫的“下載者”，由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“40,960”字節，圖標為“ ”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是下載病毒木馬。當用戶計算機感染此木馬病毒后,會出現系統無故報錯,殺毒軟件自動退出無法啟動, Windows系統運行緩慢并且發現未知進程等現象.
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Downloader.Win32.Geral.bwm”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除文件
1. 刪除 %SystemRoot%\system32\killdll.dll
2. 刪除 %SystemRoot%\system32\updater.exe
3. 刪除 %temp%\~Frm.exe
4. 刪除 %temp%\_undelme.bat
5. 刪除 %temp%\tmp.tmp
6. 用正常的asyncmac.sys，aec.sys,pcidump.sys替換被感染文件文件。
手動刪除注冊表
1、手動刪除注冊表項：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數據：C:\WINDOWS\System32\updater.exe
2，手動刪除注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
下屬所有映像劫持
3，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\asyncmac.sys
4，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\aec.sys
5，刪除注冊表：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數據：\??\C:\WINDOWS\System32\drivers\pcidump.sys
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1, 病毒建立進程快照，查找當前進程，并且獲得系統目錄 ，在該目錄下建立文件“C:\WINDOWS\system32\killdll.dll”,并以隱藏窗口的形式啟動進程CmdLine = “C:\WINDOWS\System32\rundll32.exe C:\WINDOWS\System32\killdll.dll killall”。
2，病毒文件獲得臨時文件路徑%temp%,在該目錄下釋放文件%temp%\~Frm.exe,并以隱藏窗口的形式啟動進程執行之。
3，病毒文件刪除文件“C:\WINDOWS\system32\killdll.dll”。
4，病毒獲得系統目錄路徑，將病毒移動到系統目錄下并重新命名為：“C:\WINDOWS\system32\updater.exe”
5, 病毒創建驅動文件C:\WINDOWS\system32\drivers\pcidump.sys，創建服務項并修改修改注冊表信息：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數據：\??\C:\WINDOWS\System32\drivers\pcidump.sys
以服務的方式加載該驅動文件，并將建立驅動管道"\\.\pcidump"，與驅動文件進行驅動通信，該驅動的目的是進行通信修改“userinit.exe”文件，把臨時文件“%temp%\~Frm.exe”注入到C:\WINDOWS\System32\ userinit.exe，來實現開機啟動，然后刪除 pcidump.sys對應服務項。
6，病毒在臨時文件路徑下創建批處理文件%temp%\ _undelme.bat, 完成后運行該批處理文件，刪除病毒源程序和批處理自身。
7，“killdll.dll”獲取自身權限信息并將自身權限提升為SeDebugPrivilege權限。建立進程快照，查找進程名“CCenter.exe”是否存在, “CCenter.exe”瑞星殺毒軟件的相關程序進程，如果存在，先將C:\WINDOWS\system32\drivers\ asyncmac.sys文件刪除之，并重新建立C:\WINDOWS\system32\drivers\ asyncmac.sys驅動文件，修改注冊表，建立服務項。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\asyncmac.sys
以服務的方式加載該驅動文件并將建立驅動管道"\\.\Killps_Drv"，與驅動文件進行驅動通信。該驅動發送控制碼222004，結束相關的安全軟件進程。完成后建立所有查找的安全軟件的映像劫持。安全進程名稱為："avp.exe"“safeboxTray.exe""360Safebox.exe"
"360tray.exe""antiarp.exe""ekrn.exe""RsAgent.exe""egui.exe""RavMon.exe""RavMonD.exe""RavTask.exe""AAglvgp,gzg"
"RavStub.exe""RsTray.exe""ScanFrm.exe""Rav.exe""AgentSvr.exe""AAglvgp,gzg""QQDoctor.exe""McProxy.exe""McNASvc.exe"
"Mcshield.exe""rsnetsvr.exe""MpfSrv.exe""MPSVC.EXE""MPSVC3.EXE""IKQQta,gzg""IKQQta,gzg""kmailmon.exe""KavStart.exe"
"KPFW32.EXE""KVMonXP.KXP""KVSrvXP.exe" "ccSetMgr.exe""ccEvtMgr.exe""defwatch.exe""rtvscan.exe""ccapp.exe"
"vptray.exe""mcupdmgr.exe""mcproxy.exe""mcshield.exe""MPFSrv.exe""mcsysmon.exe""mcmscsvc.exe""mcnasvc.exe"
"mcagent.exe""mcshell.exe""mcinsupd.exe""bdagent.exe""livesrv.exe""vsserv.exe""xcommsvr.exe"
對應的映像劫持路徑為：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
然后刪除驅動文件“C:\WINDOWS\system32\drivers\ asyncmac.sys”
8，調用命令行，禁用ESET NOD32的服務項，并結束相關進程：
"cmd /c sc config ekrn start= disabled"
"cmd /c taskkill /im ekrn.exe /f"
以及卡巴斯基的服務項，并結束之：
"cmd /c sc config avp start= disabled"
"cmd /c taskkill /im avp.exe /f"
以及McAfee的服務項，并取消該殺軟的服務啟動：
"cmd /c sc config McNASvc start= disabled"
"cmd /c sc config MpfService start= disabled"
"cmd /c sc config McProxy start= disabled"
"cmd /c sc config McShield start= disabled"
"cmd /c sc config mcmscsvc start= disabled"
"cmd /c sc config Mcshield start= disabled"
以及BitDefenderProfessional的服務項并取消該殺軟的服務啟動：
"cmd /c sc config XCOMM start= disabled"
"cmd /c sc config LIVESRV start= disabled"
"cmd /c sc config scan start= disabled"
"cmd /c sc config VSSERV start= disabled
9.C:\WINDOWS\System32\killdll.dll先將"C:\WINDOWS\System32\drivers\aec.SYS"文件刪除之，并重新建立C:\WINDOWS\System32\drivers\aec.SYS
修改注冊表，建立服務項。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\aec.sys
以服務的方式加載該驅動文件, “aec.sys”驅動文件恢復SSDT來解除安全軟件建立的系統鉤子, 然后刪除驅動文件“C:\WINDOWS\system32\drivers\aec.sys”
以隱藏方式取消瑞星安全軟件進程和服務項的啟動，內容為：
"cmd /c sc config RavTask start= disabled"
"cmd /c sc config RsScanSrv start= disabled"
"cmd /c sc config RavTray start= disabled"
"cmd /c sc config RsRavMon start= disabled"
"cmd /c sc config RavCCenter start= disabled"
刪除注冊表項：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，使所有的應用程序啟動項無法啟動，然后重新建立注冊表啟動項。
10. %temp%\~Frm.exe 文件建立注冊表啟動項，
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數據：C:\WINDOWS\System32\updater.exe
以便到底自啟動的目的，~Frm.exe獲得臨時文件路徑，在該目錄下釋放文件%temp%\tmp.tmp，然后建立"C:\WINDOWS\System32\svchost.exe"進程，對該進程進行寫內存操作，并建立遠程線程注入，以及將用戶的網卡地址發送到黑客指定的網站。訪問指定網址，下載大量病毒程序并運行。
病毒創建文件：
%SystemRoot%\system32\killdll.dll
%SystemRoot%\system32\updater.exe
%SystemRoot%\system32\drivers\asyncmac.sys
%SystemRoot%\System32\drivers\aec.sys
%SystemRoot%\system32\drivers\pcidump.sys
%temp%\~Frm.exe
%temp%\tmp.tmp
%temp%\ _undelme.bat
病毒刪除文件：
%SystemRoot%\system32\drivers\aec.sys
%SystemRoot%\system32\drivers\AsyncMac.sys
%SystemRoot%\system32\drivers\pcidump.sys
%temp%\ _undelme.bat
病毒刪除注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\（清空）
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safebox.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\antiarp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ekrn.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mfeann.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\egui.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AAglvgp,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsTray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ScanFrm.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AAglvgp,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McProxy.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\McNASvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Mcshield.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rsnetsvr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MpfSrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPSVC.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPSVC3.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IKQQta,gzg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kmailmon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KavStart.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.KXP
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSetMgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccEvtMgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\defwatch.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rtvscan.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccapp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vptray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcupdmgr.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcproxy.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshield.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MPFSrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcsysmon.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcmscsvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcnasvc.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcagent.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcshell.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcinsupd.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bdagent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\livesrv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsserv.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\xcommsvr.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\asyncmac.sys
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AsyncMac
名稱：ImagePath
數據：System32\DRIVERS\aec.sys
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名稱：updater
數據：C:\WINDOWS\System32\updater.exe
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump
名稱：ImagePath
數據：\??\C:\WINDOWS\System32\drivers\pcidump.sys
病毒訪問網絡:
http://www.12***23.cn/Count/count.asp?mac=00c029f27116&xxx=a1
http://09062.h****k.info:266/12.txt
http://121.14.****.85:7788/3cd2be/qq01.exe
http://121.14.****.85:7788/3cd2be/qq02.exe
http://121.14.****.85:7788/3cd2be/qq03.exe
http://121.14.****.85:7788/3cd2be/qq04.exe
http://121.14.****.85:7788/3cd2be/qq05.exe
http://121.14.****.85:7788/3cd2be/qq06.exe
http://121.14.****.85:7788/3cd2be/qq07.exe
http://121.14.****.85:7788/3cd2be/qq08.exe
http://121.14.****.85:7788/3cd2be/qq09.exe
http://121.14.****.85:7788/3cd2be/qq10.exe
http://121.14.****.85:7788/3cd2be/qq11.exe
http://121.14.****.85:7788/3cd2be/qq12.exe
http://121.14.****.85:7788/3cd2be/qq13.exe
http://121.14.****.85:7788/3cd2be/qq14.exe
http://121.14.****.85:7788/3cd2be/qq15.exe
http://121.14.****.36:7788/3cd2be/qq17.exe
http://121.14.****.36:7788/3cd2be/qq18.exe
http://121.14.****.36:7788/3cd2be/qq20.exe
http://121.14.****.36:7788/3cd2be/qq19.exe
http://121.14.****.36:7788/3cd2be/qq22.exe
http://121.14.****.36:7788/3cd2be/qq24.exe
http://121.14.****.36:7788/3cd2be/qq21.exe
http://121.14.****.36:7788/3cd2be/zz01.exe
http://121.14.****.36:7788/3cd2be/zz02.exe
http://09063.*****.info:266/3cd2be/qq25.exe |
