aaa2117 2008-6-22 10:32
Trojan-Downloader.Win32.Agent.qpv分析
作者：[i][color=#0000ff]大象[/color][/i] [i][color=black]转自：:[/color][color=blue]动物家园 bbs.kingzoo.com[/color][/i]
来源地址：[url=http://www.kingzoo.com/bbs/thread-13447-1-1.html]http://www.kingzoo.com/bbs/thread-13447-1-1.html[/url][table=98%][tr=#f0f0f0][td=2,1][b][img=19,10]http://www.kingzoo.com/bbs/images/toc_bullet_off.gif[/img][/b][b]病毒标签：[/b][/td][/tr][tr][td=1,1,16%][/td][td=1,1,84%][align=left]病毒名称： Trojan-Downloader.Win32.Agent.qpv
病毒类型： 机器狗变种
文件 MD5： 189ED63C1B967C365457B31E17EFDE00
公开范围： 完全公开
危害等级： 4
文件长度： 9,728 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo[/align][/td][/tr][tr][td=2,1][b][img=19,10]http://www.kingzoo.com/bbs/images/toc_bullet_off.gif[/img]病毒描述：[/b][/td][/tr][tr][td][/td][td][align=left] 该病毒为下载者木马类，病毒运行后调用API获取系统文件夹路径，衍生病毒文件到%Windir%\AppPatch目录下，重命名为Jview.dll与AcXtrnel.dll，并添加注册表启动项，创建rundll32.exe使该进程加载病毒DLL文件，连接网络下载大量恶意病毒文件到本地执行，经分析下载的大量病毒为盗号木马类，给用户清理造成极大的不便。 [/align][/td][/tr][/table][table=98%][tr=#f0f0f0][td=2,1][b][img=19,10]http://www.kingzoo.com/bbs/images/toc_bullet_off.gif[/img][/b][b]行为分析：[/b][/td][/tr][tr][td=1,1,16%][/td][td=1,1,84%][b]本地行为：
[/b]1、文件运行后会释放以下文件：
%Windir%\AppPatch\Jview.dll 13,824 字节
%Windir%\AppPatch \AcXtrnel.dll 9,216 字节
2、添加注册表病毒启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}
\InprocServer32]
新建键值: "@"
类型： REG_SZ
字符串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加注册表项，以达到随机启动的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}
\InprocServer32]
新建键值: "ThreadingModel"
类型： REG_SZ
字符串： “Apartment”
描述: 注册CLSID值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion
\ShellServiceObjectDelayLoad]
新建键值: "JavaView"
类型： REG_SZ
字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”
3、创建rundll32.exe使该进程加载病毒DLL文件。
4、连接网络读取列表下载大量恶意病毒文件到本地执行。
[b]网络行为:[/b]
协议：TCP
端口：53
连接服务器名：125.83.89.**
IP地址：125.83.89.**
描述：连接服务器读取TXT列表内容下载病毒，读取的列表内容：
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/10.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/11.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/12.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/13.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/14.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/15.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/16.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/17.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/18.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/19.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/2.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/20.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/3.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/4.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/5.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/6.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/7.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/8.gif
[url=http://125.83.89./][color=#0000ff]http://125.83.89.[/color][/url]**:53/9.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/21.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/22.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/23.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/24.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/25.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/26.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/27.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/28.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/29.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/30.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/31.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/32.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/33.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/34.gif
[url=http://abc.updat/][color=#0000ff]http://abc.updat[/color][/url]****.cn/35.gif
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是C:\Windows\System
windowsXP中默认的安装路径是C:\Windows\System32
[/td][/tr][tr][td][/td][td] [/td][/tr][/table][table=98%][tr=#f0f0f0][td=2,1][b][img=19,10]http://www.kingzoo.com/bbs/images/toc_bullet_off.gif[/img]清除方案：[/b][/td][/tr][tr][td=1,1,16%][/td][td=1,1,84%][indent]手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用“进程管理”找到rundll32.exe进程结束该进程。
(2)强行删除病毒文件：
%Windir%\AppPatch\Jview.dll
%Windir%\AppPatch \AcXtrnel.dll
(3)删除病毒服务注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}
\InprocServer32]
新建键值: "@"
类型： REG_SZ
字符串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加注册表项，以达到随机启动的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}
\InprocServer32]
新建键值: "ThreadingModel"
类型： REG_SZ
字符串： “Apartment”
描述: 注册CLSID值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion
\ShellServiceObjectDelayLoad]
新建键值: "JavaView"
类型： REG_SZ
字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”
[/indent][/td][/tr][/table][table=98%][tr=#f0f0f0][td=2,1][b][img=19,10]http://www.kingzoo.com/bbs/images/toc_bullet_off.gif[/img]更多请关注：[url=http://bbs.kingzoo.com/][color=#800080]bbs.kingzoo.com[/color][/url] （动物家园计算机安全咨询中心）[/b][/td][/tr][/table]
xianzonghc 2008-6-27 09:20
第一步进程就找不到，本人病毒小白
