該病毒運行後，病毒衍生檔案到IE臨時目錄下，隨機選擇系統進程注入。該病毒具有盜取網路遊戲“征途”賬號與密碼功能。
基本介紹
- 中文名：下載者變種
- 外文名：Trojan-Downloader.Win32.Agent.bei
- 病毒類型：木馬類
- 公開範圍：完全公開
簡介,行為分析,清除方案,
簡介
病毒名稱：Trojan-Downloader.Win32.Agent.bei
中文名稱：下載者變種
病毒類型：木馬類
檔案 MD5：9A89F152795E69313646C8FF43B70438
公開範圍：完全公開
危害等級：中等
檔案長度：40,595 位元組
感染系統：Win98以上系統
開發工具：Borland Delphi 6.0 - 7.0 [Overlay]
加殼工具：UPX 0.80 - 1.24 DLL -> Markus & Laszlo
命名對照：驅逐艦[Trojan.MulDrop.5049]
瑞星[Trojan.PSW.ZhengTu.abr]
行為分析
1、衍生下列副本與檔案
%DOCUME~1%\COMMAN~1\LOCALS~1\Temp\exp1orer.exe
%DOCUME~1%\COMMAN~1\LOCALS~1\Temp\LgSyz.dll
2、新建註冊表鍵值：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
\Syzmy3
Value: String: "C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp
\exp1orer.exe"
3、連線指定伺服器地址：
ServerIP:209.162.178.14:80
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
exp1orer.exe
(2) 刪除病毒釋放檔案
%DOCUME~1%\COMMAN~1\LOCALS~1\Temp\exp1orer.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
\Syzmy3
Value: String: "C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\exp1orer.exe"
