网络信息安全是一个博大精深的技术体系，安天将自己的注意力专注于主要矛盾，即计算机网络病毒问题。
    根据有关机构统计，全球超过80%的安全事件均与病毒有关，网络病毒是信息社会面临的主要安全挑战之一，因此，安天人将“天下无毒”作为自己追求的安全境界。
    安天将网络安全工作者的宏观视野与反病毒工程师的成熟细腻有机结合。将反病毒技术与网络监控技术、计算机犯罪取证技术、安全评估技术等进行了有机的结合，形成了自身的产品内涵。
  当前位置：首页 - 安全响应中心 -> 病毒分析报告

Trojan/Win32.Flystud.ld[Dropper]分析
出处：安天实验室 时间：2009年5月13日
 

  • 病毒标签
 

病毒名称： Trojan/Win32.Flystud.ld[Dropper]
病毒类型： 木马
文件 MD5： 3AD89FF7AAC3CF9413A86FE65DABE773
公开范围： 完全公开
危害等级： 4
文件长度： 32,854 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0 [Overlay]

  • 病毒描述
 

    该病毒为木马类，病毒运行后首先复制自身到%system32%\D71B90目录下，并释放多个动态链接库文件到%system32%\8A9EE5，并以.fne和.fnr后缀命名，病毒首先动态加载krnln.fnr文件，获取getnewsock函数地址，通过krnln.fnr自动调用其他的动态链接库文件，已达到加载的目的，通过shell.fne获取系统环境变量以及系统名称，并试图通过邮件发送讯息。由于病毒本身BUG该病毒运行后会提示无效路径。该病在当前用户“程序\启动”下创建快捷方式并指向病毒本体，达到随系统启动的目的。连接网络访问www.baidu.com，并试图访问www.dywt.com.cn。

  • 行为分析-本地行为
 

病毒衍生文件
%system32%\8A9EE5\cnvpe.fne
%system32%\8A9EE5\dp1.fne
%system32%\8A9EE5\eAPI.fne
%system32%\8A9EE5\HtmlView.fne
%system32%\8A9EE5\internet.fne
%system32%\8A9EE5\krnln.fnr
%system32%\8A9EE5\RegEx.fnr
%system32%\8A9EE5\shell.fne
%system32%\8A9EE5\spec.fne
%system32%\D71B90\4F24A4.EXE
%Documents and Settings%\「开始」菜单\程序\启动\4F24A4.lnk

  • 行为分析-网络行为
 

更改套接字进行网站访问
协议：http
端口：80
地址：www.baidu.com
访问信息：
GET / HTTP/1.1
User-Agent: test
Host: www.baidu.com
Cache-Control: no-cache

HTTP/1.1 200 OK
Date: Tue, 12 May 2009 05:47:27 GMT
Server: BWS/1.0
Content-Length: 3585
Content-Type: text/html
Cache-Control: private
Expires: Tue, 12 May 2009 05:47:27 GMT
Set-Cookie: BAIDUID=81FE350C1CFF02505E49DC9C21B6D137:FG=1; expires=Tue, 12-May-39 05:47:27 GMT; path=/; domain=.baidu.com
P3P: CP=" OTI DSP COR IVA OUR IND COM "
……

    注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\ WINDODWS所在目录
%DriveLetter%\ 逻辑驱动器根目录
%ProgramFiles%\ 系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录

  • 清除方案
 

1、使用安天防线可彻底清除此病毒(推荐)，请点击下载(http://www.antiyfx.com)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
推荐使用ATool管理工具，请点击下载(http://www.antiy.com/cn/download/index.htm)。
（1）结束进程
4F24A4.EXE
（2）删除文件
%system32%\8A9EE5\cnvpe.fne
%system32%\8A9EE5\dp1.fne
%system32%\8A9EE5\eAPI.fne
%system32%\8A9EE5\HtmlView.fne
%system32%\8A9EE5\internet.fne
%system32%\8A9EE5\krnln.fnr
%system32%\8A9EE5\RegEx.fnr
%system32%\8A9EE5\shell.fne
%system32%\8A9EE5\spec.fne
%system32%\D71B90\4F24A4.EXE
%Documents and Settings%\「开始」菜单\程序\启动\4F24A4.lnk