安全响应·Security
病毒分析报告·Report

Trojan-Downloader.Win32.Small.czo分析

出处：安天实验室 时间：2007-07-11 10：00

病毒标签：

病毒名称： Trojan-Downloader.Win32.Small.czo
病毒类型： 木马
文件 MD5： 120521DB73BBF1D0A8BDFB90E2D758B
公开范围： 完全公开
危害等级： 3
文件长度： 14,689 字节
感染系统： windows 98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳工具： FSG 2.0 -> bart/xt
病毒描述：

　　该病毒属木马类。病毒运行后复制自身到 %system32% 下及其附属目录下；在所有盘幅根目录下创建病毒副本，文件名为 setup.exe ，并衍生病毒文件 autorun.inf ，达到随双击盘幅启动病毒的目的；修改注册表，添加两处启动项、创建服务，以达到随机启动的目的；锁定隐藏文件选项，使用户无法显示隐藏文件。访问网络，下载病毒文件。

行为分析：

1 、病毒运行后复制自身到 %system32% 及其附属目录下，并在所有盘根目录下创建病毒文件副本，并衍生病毒文件。

　　　　%system23%\ internt.exe
　　　　%system32%\progmon.exe
　　　　%system32%\IME\svchost.exe
　　　　% 各驱动器根目录 %\setup.exe
　　　　% 各驱动器根目录 %\autorun.inf

2 、修改注册表，添加两处启动项，以达到随机启动的目的：

　　　　HKEY_LOCAL_MACHINE\SOFTWARE
　　　　\Microsoft\Windows\CurrentVersion\Run
　　　　新建键值:字串:"Internt"="C:
　　　　\WINDOWS\system32\internt.exe"
　　　　HKEY_LOCAL_MACHINE\SOFTWARE
　　　　\Microsoft\Windows\CurrentVersion\Run
　　　　新建键值:字串:"Program file"="C:
　　　　\WINDOWS\system32\progmon.exe"


3 、修改注册表，创建服务，以达到随机启动的目的：

　　　　服务名称： Alerter COM+
　　　　映像路径： %system32%\IME\svchost.exe
　　　　启动方式：自动

4、锁定隐藏文件选项，使用户无法显示隐藏文件：

　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
　　　　\Windows\CurrentVersion\Explorer
　　　　\Advanced\Folder\Hidden\SHOWALL\CheckedValue
　　　　新键值: DWORD: 0(0)
　　　　原键值: DWORD: 1 (0x1)

5、禁止 IE 使用代理服务器：

　　　　HKEY_USERS\S-1-5-18\Software
　　　　\Microsoft\Windows\CurrentVersion
　　　　\Internet Settings\ProxyEnable
　　　　新建键值: DWORD: 0 (0)
　　　　HKEY_USERS\.DEFAULT\Software
　　　　\Microsoft\Windows\CurrentVersion
　　　　\Internet Settings\ProxyEnable
　　　　新建键值: DWORD: 0 (0)
　　　　

6、 连接网络，下载病毒文件：

　　　　网址： http://w.d*y52*.com

　　　　路径：

　　　　/0.exe 　　　　　　　　　　　　　　Trojan-Spy.Win32.Delf.vr　　　　
　　　　/nogui.exe 　　　　　　　　　　　　为 winpacp3.0 安装文件
　　　　/wpcap.dll 　　　　　　　　　　　　winpacp 相关库文件
　　　　/psexec.exe 　　　　 　　　　　　 一个低权限远端命令行执行工具
　　　　/Server.exe 　　　　　　　　　　　下载病毒原程序作为副本　　　
　　　　/arp.exe 　　　　　　　　　　　 　网络叹嗅工具
　　　　/down/game01.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game02.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game03.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game04.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game05.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game06.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game07.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game08.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game09.exe 　　　　　　　　Trojan-Proxy.Win32.Small.du
　　　　/down/game10.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.nn
　　　　/down/game11.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.nt
　　　　/down/game12.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.od
　　　　/down/game13.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.zb
　　　　/down/game14.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.rd
　　　　/down/game15.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.yn
　　　　/down/game16.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.xt
　　　　/down/game17.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.yk
　　　　/down/game18.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.wh
　　　　/down/game19.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.xi
　　　　/down/game20.exe 　　　　　　　　Trojan-PSW.Win32.OnLineGames.zq

注：%vsystem32% 是一个可变路径。病毒通过查询操作系统来决定当前 vsystem32
文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt\system32 ，windows95/98/me/xp 中默认的安装路径是 C:\Windows\system32 。

清除方案：
 

1 、使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 　 (1)使用 安天木马防线 “进程/服务管理”关闭病毒进程
　 　 (2) 删除病毒文件：
　　　　　　%system23%\ internt.exe
　　　　　　%system32%\progmon.exe 　　　　　　
　　　　　　%system32%\IME\svchost.exe
　　　　　　% 各驱动器根目录 %\setup.exe
　　　　　　% 各驱动器根目录 %\autorun.inf

　 　 (3)恢复病毒修改的注册表项目，删除病毒添加的注册表项。
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE
　　　　　　\Microsoft\Windows\CurrentVersion\Run
　　　　　　新建键值: 字串: "Internt"="C:\WINDOWS
　　　　　　\system32\internt.exe"
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE
　　　　　　\Microsoft\Windows\CurrentVersion\Run
　　　　　　新建键值: 字串: "Program file"="C:
　　　　　　\WINDOWS\system32\progmon.exe"
　　　　　　HKEY_USERS\S-1-5-18\Software
　　　　　　\Microsoft\Windows\CurrentVersion
　　　　　　\Internet Settings\ProxyEnable
　　　　　　新建键值: DWORD: 0 (0)
　　　　　　HKEY_USERS\.DEFAULT\Software
　　　　　　\Microsoft\Windows\CurrentVersion
　　　　　　\Internet Settings\ProxyEnable
　　　　　　新建键值 : DWORD: 0 (0)

　　　　　　删除下面项的所有子项：　　　　　　
　　　　　　HKEY_LOCAL_MACHINE\SYSTEM
　　　　　　\ControlSet001\Services
　　　　　　\Alerter COM+

　　　　　　恢复注册表原键值：
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE
　　　　　　\Microsoft\Windows\CurrentVersion
　　　　　　\Explorer\Advanced\Folder
　　　　　　\Hidden\SHOWALL\CheckedValue
　　　　　　新键值: DWORD: 0 (0)
　　　　　　原键值: DWORD: 1 (0x1)　 　
附：
 


点击此处下载木马防线2005+

病毒上报信箱: submit@virusview.net
[TOP]