首 页  |  微点新闻  |  业界动态  |  安全资讯  |  安全快报  |  产品信息  |  网络版首页
通行证  |  客服?#34892;?/a>  |  微点社区  |  微点邮局  |  常见问题  |  在线订购  |  各地代理商
 

木马下载者Trojan-Downloader.Win32.Agent.ccio

木马下载者

Trojan-Downloader.Win32.Agent.ccio

捕获时间

2012-11-27

危害等级



病毒症状

该样本是使用“C\C ”编写的“木马下载者”,由微点主动防御软件自动捕获,长?#20219;?ldquo;33,888”字节,图标为“
”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播,病毒主要目的是恶意修改用户系统并下载更多的病毒或木马后门文件运行。

   用户中毒后会出现电脑的运行速度变慢,杀软无故退出而不能启动,出现大量未知进程等现象。


感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防?#27934;?#26045;

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)


图1 微点主动防御软件自动捕获未知病毒(未升级)







如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-Downloader.Win32.Agent.ccio”,请直接选择删除(如图2)。

 


图2   微点主动防御软件升级后截获已知病毒










未安装微点主动防御软件的手动解决办法:

1.手动删除文件
"%SystemRoot%\Help\windowsz32.txt"
"%SystemRoot%\zoues\svchost.exe"
目录"%SystemRoot%\zouar\"
"%Temp%\6675999.gif"

2.手动删除注册表
子键"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-Z568-11d2-9CBD-0000F87A369E}
\stubpath"


变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文?#30340;?#24405;,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析:

1.创建名字为"fdefgrjifezzzzzzzzzzzihnuvorrgoqwfedspdiqwe"的互斥对象,防止重复执行。
2.获取系统目录,创建文件"c:\WINDOWS\Help\windowsz32.txt",写入病毒主程序路径信息。       
3.创建目录"C:\WINDOWS\zoues\",将自身拷贝重命名为"C:\WINDOWS\zoues\svchost.exe",并创建新进程执行。
4.文件"C:\WINDOWS\zoues\svchost.exe"执行之后:
(1)读取文件"c:\WINDOWS\Help\windowsz32.txt"?#26032;?#24452;信息并删除病毒主程序。
(2)创建并设置键值项"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-Z568-11d2-9CBD-0000F87A369E}\stubpath" = "C:\WINDOWS\zoues\svchost.exe",实现病毒开机自启动。
(3)获取本地mac地址信息发送到远程主机,如"http://tj.coup**o.com:907/htmci/count.asp?mac=00-0c-*9-b*-2f-ea&userid=ci&jinchengshu=1"。
(4)查找并试图关闭标题为以下字样的窗口:
"IP?#29366;?quot;、"抓包"、"监听"、"酷抓"、"嗅探"、"捕获"、"幽狗"、"监视"、"嗅觉"、"niff"、"WPE"、"远程桌面"、"porary"、"Expert"、"Pack"、"Analyzer"、"WinNetCap"、"封包"、"Wireshark"、"任务管理器"。
(5)创建目录"C:\WINDOWS\zouar",下载"http://myxd.coup**o.com:908/aspi/aspx.gif"为本地文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\6675999.gif(文件名随机)",并读取解密该文件中的病毒地址信息如:
"http://98.***.133.210:806/aspi/cq.js"
"http://110.**.147.195:806/aspi/cw.js"
"http://110.**.147.195:806/aspi/ce.js"
"http://110.**.147.195:806/aspi/cr.js"
"http://98.***.133.210:806/aspi/cq.js"?#30452;?#19979;载为本身文件"C:\WINDOWS\zouar\yalumxdw.src(文件名随机)"并执行。
(6)以同样的方式下载病毒文件"http://map.so**u.com/v512/i/pixel.gif"、"http://myxd.coup**o.com:908/aspi/aspx.gif"并读取其中的网址信息进一步下载其他病毒文件执行。
(7)删除目录"C:\WINDOWS\zouar"中所有的临时文件及"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\6675999.gif"。



病毒创建文件:

"%SystemRoot%\Help\windowsz32.txt"
"%SystemRoot%\zoues\svchost.exe"
若干个"%SystemRoot%\zouar\yalumxdw.src(文件名随机)"
"%Temp%\6675999.gif"

病毒删除文件:

病毒主程序
若干个"%SystemRoot%\zouar\yalumxdw.src(文件名随机)"
"%Temp%\6675999.gif"

病毒修改注册表:

"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{AENGFU3AA-Z568-11d2-9CBD-0000F87A369E}
\stubpath"

病毒访问网络:

"http://tj.coup**o.com:907/htmci/count.asp?mac=00-0c-*9-b*-2f-ea&userid=ci&jinchengshu=1"
"http://myxd.coup**o.com:908/aspi/aspx.gif"
"http://map.so**u.com/v512/i/pixel.gif"
"http://myxd.coup**o.com:908/aspi/aspx.gif"
"http://98.***.133.210:806/aspi/cq.js"
"http://110.**.147.195:806/aspi/cw.js"
"http://110.**.147.195:806/aspi/ce.js"
"http://110.**.147.195:806/aspi/cr.js"
"http://98.***.133.210:806/aspi/cq.js"

相关主题:
没有相关主题

免费试用
下  载
安装演示

宁静电子游艺
澳门赌场玩法 宁波婚车行业赚钱吗 开猫咖啡厅赚钱 在线购买高频彩 加盟万事通可以赚钱吗 救世透码 大乐透投注技巧 广东十一选五走势图彩乐乐 体彩江苏11选5直播 最新大神象棋 开牙科诊所暴利赚钱吗 中国体育彩票超级大乐透 河南十一选五怎么买 000402股票行情 nba直播免费cctv5 极速飞艇官方开奖结果