AV终结者变种

Trojan-Downloader.Win32.Agent.ghe

捕获时间

2010-12-18

危害等级

高

病毒症状

    该样本是使用“Delphi”编写的下载类病毒，由微点主动防御软件自动捕获，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“33,406字节”，图标为“
”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”、“移动存储介质”等方式传播，病毒主要目的为下载安装病毒木马程序。
　 用户中毒后，会出现安全软件无故关闭，网络运行缓慢，无法进入安全模式，windows系统无故报错等现象，部分网页无法打开等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista

传播途径

网页挂马、文件捆绑、下载器下载
手动解决办法：

1,手动删除以下文件

%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dat
%SystemRoot%\Help\CE3DC9E9.chm
%SystemRoot%\CE3DC9E9.hlp
        
2, 手动恢复以下注册表项

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

3，手动删除以下注册表项

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下生成的大量劫持项

4，手动将以下注册表项START项修改为正常值

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

变量声明：

　　%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
　　%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
　　%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
　　%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”
病毒分析

（1）检查自身是否重复运行，创建互斥体,获取用户本地磁盘C盘信息，并尝试将病毒写入系统还原文件夹，以躲过杀软查杀，查找文件%SystemRoot%\system32\clsid.exe如果存在试图重命名并删除文件，以保证病毒能成功加载运行。查找%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll，如果存在则删除。
（2）解密自身数据，释放病毒文件%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll，将自身拷贝到
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dat
以及%SystemRoot%\Help\CE3DC9E9.chm，并将生成的文件都设置为系统隐藏只读属性。加载运行%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll。
（3）查找大量安全软件进程，如果存在则试图关闭杀软进程 ，释放Deleteme.bat更改时间。Deleteme.bat运行完后自我删除，并检查同名进程是否为病毒自身如果不是则关闭该进程，注入Explorer.exe和TIMPlatform.exe以绕过防火墙实现下载功能。
（4）创建线程循环将自身启动信息写入注册表，以保证注册表信息不被删除，修改以下服务的启动类型来禁止Windows的自更新和系统自带的防火墙，破坏安全模式注册表信息，使用户无法进入安全模式。在“Image File Execution Options”下新建大量注册表项以劫持大量安全相关程序。监视用户启动程序窗口，如果存在特定与安全相关的关键字就关闭应用程序，使用户无法打开部分网页及程序。删除注册表相关项，使用户无法查看系统隐藏文件。
（5）创建线程，等待网络连接，如果网络连接可用则从指定网址下载大量病毒，木马运行。

病毒创建文件：

%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dat
%SystemRoot%\Help\CE3DC9E9.chm
%SystemRoot%\CE3DC9E9.hlp

病毒删除文件：

%SystemRoot%\system32\verclsid.exe

病毒创建注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}\InProcServer32\ThreadingModel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下生成大量劫持项

病毒修改注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

病毒删除注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

病毒访问网络：

htxp://www.1***5.com/xin3.exe
http://do.7***6.com/0.exe
http://d.q**d.com/0.exe

AV终结者变种

Trojan-Downloader.Win32.Agent.ghe

捕获时间

2010-12-18

危害等级

高

病毒症状

    该样本是使用“Delphi”编写的下载类病毒，由微点主动防御软件自动捕获，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“33,406字节”，图标为“
”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”、“移动存储介质”等方式传播，病毒主要目的为下载安装病毒木马程序。
　 用户中毒后，会出现安全软件无故关闭，网络运行缓慢，无法进入安全模式，windows系统无故报错等现象，部分网页无法打开等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista

传播途径

网页挂马、文件捆绑、下载器下载
手动解决办法：

1,手动删除以下文件

%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dat
%SystemRoot%\Help\CE3DC9E9.chm
%SystemRoot%\CE3DC9E9.hlp
        
2, 手动恢复以下注册表项

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

3，手动删除以下注册表项

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下生成的大量劫持项

4，手动将以下注册表项START项修改为正常值

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

变量声明：

　　%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
　　%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
　　%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
　　%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”
病毒分析

（1）检查自身是否重复运行，创建互斥体,获取用户本地磁盘C盘信息，并尝试将病毒写入系统还原文件夹，以躲过杀软查杀，查找文件%SystemRoot%\system32\clsid.exe如果存在试图重命名并删除文件，以保证病毒能成功加载运行。查找%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll，如果存在则删除。
（2）解密自身数据，释放病毒文件%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll，将自身拷贝到
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dat
以及%SystemRoot%\Help\CE3DC9E9.chm，并将生成的文件都设置为系统隐藏只读属性。加载运行%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll。
（3）查找大量安全软件进程，如果存在则试图关闭杀软进程 ，释放Deleteme.bat更改时间。Deleteme.bat运行完后自我删除，并检查同名进程是否为病毒自身如果不是则关闭该进程，注入Explorer.exe和TIMPlatform.exe以绕过防火墙实现下载功能。
（4）创建线程循环将自身启动信息写入注册表，以保证注册表信息不被删除，修改以下服务的启动类型来禁止Windows的自更新和系统自带的防火墙，破坏安全模式注册表信息，使用户无法进入安全模式。在“Image File Execution Options”下新建大量注册表项以劫持大量安全相关程序。监视用户启动程序窗口，如果存在特定与安全相关的关键字就关闭应用程序，使用户无法打开部分网页及程序。删除注册表相关项，使用户无法查看系统隐藏文件。
（5）创建线程，等待网络连接，如果网络连接可用则从指定网址下载大量病毒，木马运行。

病毒创建文件：

%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dll
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\CE3DC9E9.dat
%SystemRoot%\Help\CE3DC9E9.chm
%SystemRoot%\CE3DC9E9.hlp

病毒删除文件：

%SystemRoot%\system32\verclsid.exe

病毒创建注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}\InProcServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}\InProcServer32\ThreadingModel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{DC9ECE3D-CE3D-C9E9-3DC9-E3D9EE3DC9E9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下生成大量劫持项

病毒修改注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

病毒删除注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

病毒访问网络：

htxp://www.1***5.com/xin3.exe
http://do.7***6.com/0.exe
http://d.q**d.com/0.exe