开发学院网络安全病毒数据库 Win32.TrojDownloader.Agent.147456 阅读

Win32.TrojDownloader.Agent.147456

　2008-08-11 20:26:11　来源：WEB开发网　闂傚倷绶氬ḿ褍螞閹绢喖绠柨鐕傛嫹

闂傚倷绀侀幉锟犲垂閻㈠灚宕查柟鎵閸庡秵銇勯幒鎴濃偓鐢稿磻閹炬枼妲堟繛鍡楃С濞岊亞绱撻崒姘扁枌闁瑰嚖鎷�

婵犵數濮幏鍐川椤撴繄鎹曢梻渚€娼уú銈吤洪妸鈺佺劦妞ゆ帊鑳堕埊鏇㈡煏閸モ晛浠х紒杈╁仱閺佹捇鏁撻敓锟�闂傚倷绶氬ḿ褍螞閹绢喖绠柨鐕傛嫹　　闂傚倷鑳舵灙缂佺粯顨呴埢宥夊即閵忕姵鐎梺缁樺姇閹碱偆鐥閺屾洘绻濊箛鏇犵獥闂佺厧澹婃禍婊堚€旈崘顏佸亾閿濆骸澧ù鐘欏嫮绠鹃柛顐ゅ枎閻忋儲銇勯弴妯哄姦妞ゃ垺鐟╅幃鈩冩償閵囧府鎷�

核心提示：病毒名称(中文):匿名下载器147456病毒别名:威胁级别:★☆☆☆☆病毒类型:木马下载器病毒长度:147456影响系统:Win9xWinMeWinNTWin2000WinXPWin2003病毒行为:这是一个较典型的木马下载器病毒，该下载器在躲避杀软和用户手动查杀方面采取匿名法，Win32.TrojDownloader

病毒名称(中文): 匿名下载器147456
病毒别名:
威胁级别: ★☆☆☆☆
病毒类型: 木马下载器
病毒长度: 147456
影响系统: Win9xWinMeWinNTWin2000WinXPWin2003

病毒行为:

这是一个较典型的木马下载器病毒。该下载器在躲避杀软和用户手动查杀方面采取匿名法，也就是释放的病毒副本文件路径和文件名都随机。

1.创建互斥量bmvaccinespyware，确保病毒程序只有一个实例运行。

2.病毒首先预览system32目录下的所有目录，然后在这些目录中随机选取一个，在这个选取的目录下新建病毒目录，然后在其下释放病毒副本文件：
释放的路径和文件名可能是：
x:\windows\system32\CatRoot\kktiu\onzik.exe
X:\WINDOWS\System32\dhcp\zeoiu\teutu.exe
x:\WINDOWS\System32\oobe\images\tettu\zktin.exe
x:\WINDOWS\System32\config\systemPRofile\kntzu\oetku.exe
x:\WINDOWS\System32\wbem\mof\keukk\zezuk.exe

3.在注册表中创建自启动项，使病毒随系统启动
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
“onzik”=X:\WINDOWS\System32\CatRoot\kktiu\onzik.exe

4.为了删除自身痕迹，在重启后删除自身。

5.在%Windir%\system32目录下新建ini文件记录感染病毒版本，文件名为vcspww_ret2_vi.ini。

6.到地址http://comm.w****olbar.co.kr/backman/bmvcspyware.php读取下载列表下载其它木马文件。

7.除读取下载列表外，还到以下地址下载木马：
http://update.p******mreward.co.kr/subx/hdaq.exe
保存为%windir%\apesuyiqa.exe；

8.创建服务apesuyiqa，使程序apesuyiqa.exe随系统启动。