作者：大象 转自：:动物家园 bbs.kingzoo.com

来源地址：http://www.kingzoo.com/bbs/thread-13447-1-1.html

病毒标签：
	病毒名称： Trojan-Downloader.Win32.Agent.qpv 病毒类型： 机器狗变种 文件 MD5： 189ED63C1B967C365457B31E17EFDE00 公开范围： 完全公开 危害等级： 4 文件长度： 9,728 字节 感染系统： Windows98以上版本 开发工具： Microsoft Visual C++ 6.0 加壳类型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
病毒描述：
	该病毒为下载者木马类，病毒运行后调用API获取系统文件夹路径，衍生病毒文件到%Windir%\AppPatch目录下，重命名为Jview.dll与AcXtrnel.dll，并添加注册表启动项，创建rundll32.exe使该进程加载病毒DLL文件，连接网络下载大量恶意病毒文件到本地执行，经分析下载的大量病毒为盗号木马类，给用户清理造成极大的不便。

行为分析：
	本地行为： 1、文件运行后会释放以下文件： 　　　　%Windir%\AppPatch\Jview.dll 　　　　13,824 字节 　　　　%Windir%\AppPatch \AcXtrnel.dll 　　9,216 字节 2、添加注册表病毒启动项： 　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes 　　　　\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99} 　　　　\InprocServer32] 　　　　新建键值: "@" 　　　　类型： REG_SZ 　　　　字符串： “C:\WINDOWS\AppPatch\Jview.dll” 　　　　描述: 添加注册表项，以达到随机启动的目的 　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Classes 　　　　\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99} 　　　　\InprocServer32] 　　　　新建键值: "ThreadingModel" 　　　　类型： REG_SZ 　　　　字符串： “Apartment” 　　　　描述: 注册CLSID值 　　　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft 　　　　\Windows\CurrentVersion 　　　　\ShellServiceObjectDelayLoad] 　　　　新建键值: "JavaView" 　　　　类型： REG_SZ 　　　　字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}” 3、创建rundll32.exe使该进程加载病毒DLL文件。 4、连接网络读取列表下载大量恶意病毒文件到本地执行。 网络行为: 　　　　协议：TCP 　　　　端口：53 　　　　连接服务器名：125.83.89.** 　　　　IP地址：125.83.89.** 　　　　描述：连接服务器读取TXT列表内容下载病毒，读取的列表内容： 　　　　http://125.83.89.**:53/10.gif 　　　　http://125.83.89.**:53/11.gif 　　　　http://125.83.89.**:53/12.gif 　　　　http://125.83.89.**:53/13.gif 　　　　http://125.83.89.**:53/14.gif 　　　　http://125.83.89.**:53/15.gif 　　　　http://125.83.89.**:53/16.gif 　　　　http://125.83.89.**:53/17.gif 　　　　http://125.83.89.**:53/18.gif 　　　　http://125.83.89.**:53/19.gif 　　　　http://125.83.89.**:53/2.gif 　　　　http://125.83.89.**:53/20.gif 　　　　http://125.83.89.**:53/3.gif 　　　　http://125.83.89.**:53/4.gif 　　　　http://125.83.89.**:53/5.gif 　　　　http://125.83.89.**:53/6.gif 　　　　http://125.83.89.**:53/7.gif 　　　　http://125.83.89.**:53/8.gif 　　　　http://125.83.89.**:53/9.gif 　　　　http://abc.updat****.cn/21.gif 　　　　http://abc.updat****.cn/22.gif 　　　　http://abc.updat****.cn/23.gif 　　　　http://abc.updat****.cn/24.gif 　　　　http://abc.updat****.cn/25.gif 　　　　http://abc.updat****.cn/26.gif 　　　　http://abc.updat****.cn/27.gif 　　　　http://abc.updat****.cn/28.gif 　　　　http://abc.updat****.cn/29.gif 　　　　http://abc.updat****.cn/30.gif 　　　　http://abc.updat****.cn/31.gif 　　　　http://abc.updat****.cn/32.gif 　　　　http://abc.updat****.cn/33.gif 　　　　http://abc.updat****.cn/34.gif 　　　　http://abc.updat****.cn/35.gif 注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。 　　 　　　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录 　　　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录 　　　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录 　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区 　　　　%Documents and Settings% 　　　当前用户文档根目录 　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings 　　　　　　　　　　　　 　　　　　　　\当前用户\Local Settings\Temp 　　　　%System32% 　　　　　　　　　　系统的 System32文件夹 　　　　 　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32 　　　　windows95/98/me中默认的安装路径是C:\Windows\System 　　　　windowsXP中默认的安装路径是C:\Windows\System32

清除方案：

手工清除请按照行为分析删除对应文件，恢复相关系统设置。 　 (1)使用“进程管理”找到rundll32.exe进程结束该进程。 　 (2)强行删除病毒文件： 　 　 %Windir%\AppPatch\Jview.dll 　 　 %Windir%\AppPatch \AcXtrnel.dll 　 (3)删除病毒服务注册表项： 　 　 [HKEY_LOCAL_MACHINE\SOFTWARE\Classes 　 　 \CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99} 　 　 \InprocServer32] 　 　 新建键值: "@" 　 　 类型： REG_SZ 　 　 字符串： “C:\WINDOWS\AppPatch\Jview.dll” 　 　 描述: 添加注册表项，以达到随机启动的目的　 　 　 　 [HKEY_LOCAL_MACHINE\SOFTWARE\Classes 　 　 \CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99} 　 　 \InprocServer32] 　 　 新建键值: "ThreadingModel" 　 　 类型： REG_SZ 　 　 字符串： “Apartment” 　 　 描述: 注册CLSID值 　 　 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft 　 　 \Windows\CurrentVersion 　 　 \ShellServiceObjectDelayLoad] 　 　 新建键值: "JavaView" 　 　 类型： REG_SZ 　 　 字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”

更多请关注：bbs.kingzoo.com （动物家园计算机安全咨询中心）

第一步进程就找不到，本人病毒小白