词条 | Trojan-Downloader.Win32.Agent.qpv.gif |
释义 | 病毒标签:病毒名称: Trojan-Downloader.Win32.Agent.qpv.gif 病毒类型: 木马下载器 文件 MD5: 0BCB2187B2E0EDCF88EC0CACFFF15E05 公开范围: 完全公开 危害等级: 4 文件长度: 9,728 字节 感染系统: Windows98以上版本 开发工具: UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo 病毒描述:该病毒为下载者木马类,病毒运行后调用CreateMutexA函数创建互病毒斥量: __DL_CORE4GA_MUTEX__,目的防止多次运行,调用API获取系统文件夹路径,衍生病毒 文件到%Windir%\\AppPatch目录下,重命名为Jview.dll与AcXtrnel.dll,并添加注册 表启动项,创建rundll32.exe使该进程加载病毒DLL文件,连接网络下载大量恶意病毒 文件到本地执行,经分析下载的大量病毒为盗号木马类,给用户清理造成及大的不便。 行为分析:本地行为: 1、文件运行后会释放以下文件: %Windir%\\AppPatch\\Jview.dll 13,824 字节 %Windir%\\AppPatch \\AcXtrnel.dll 9,216 字节 2、添加注册表病毒启动项: [HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID \\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99} \\InprocServer32] 新建键值: "@" 类型: REG_SZ 字符串: “C:\\WINDOWS\\AppPatch\\Jview.dll” 描述: 添加注册表项,以达到随机启动的目的 [HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID \\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99} \\InprocServer32] 新建键值: "ThreadingModel" 类型: REG_SZ 字符串: “Apartment” 描述: 注册CLSID值 [HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft \\Windows\\CurrentVersion\\ShellServiceObjectDelayLoad] 新建键值: "JavaView" 类型: REG_SZ 字符串: “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}” 3、创建rundll32.exe使该进程加载病毒DLL文件。 4、连接网络读取列表下载大量恶意病毒文件到本地执行。 网络行为: 协议:TCP 端口:53 连接服务器名:http://ad.updat****.us/ads.jpg IP地址:125.83.89.** 描述:连接服务器读取TXT列表内容下载病毒,读取的列表内容: http://125.83.89.**:53/10.gif http://125.83.89.**:53/11.gif http://125.83.89.**:53/12.gif http://125.83.89.**:53/13.gif http://125.83.89.**:53/14.gif http://125.83.89.**:53/15.gif http://125.83.89.**:53/16.gif http://125.83.89.**:53/17.gif http://125.83.89.**:53/18.gif http://125.83.89.**:53/19.gif http://125.83.89.**:53/2.gif http://125.83.89.**:53/20.gif http://125.83.89.**:53/3.gif http://125.83.89.**:53/4.gif http://125.83.89.**:53/5.gif http://125.83.89.**:53/6.gif http://125.83.89.**:53/7.gif http://125.83.89.**:53/8.gif http://125.83.89.**:53/9.gif http://abc.updat****.cn/21.gif http://abc.updat****.cn/22.gif http://abc.updat****.cn/23.gif http://abc.updat****.cn/24.gif http://abc.updat****.cn/25.gif http://abc.updat****.cn/26.gif http://abc.updat****.cn/27.gif http://abc.updat****.cn/28.gif http://abc.updat****.cn/29.gif http://abc.updat****.cn/30.gif http://abc.updat****.cn/31.gif http://abc.updat****.cn/32.gif http://abc.updat****.cn/33.gif http://abc.updat****.cn/34.gif http://abc.updat****.cn/35.gif 注: %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的 位置。 %Windir% WINDODWS所在目录 %DriveLetter% 逻辑驱动器根目录 %ProgramFiles% 系统程序默认安装目录 %HomeDrive% 当前启动的系统的所在分区 %Documents and Settings% 当前用户文档根目录 %Temp% \\Documents and Settings \\当前用户\\Local Settings\\Temp %System32% 系统的 System32文件夹 Windows2000/NT中默认的安装路径是C:\\Winnt\\System32 windows95/98/me中默认的安装路径是C:\\Windows\\System windowsXP中默认的安装路径是C:\\Windows\\System32 |
随便看 |
百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。