Trojan-Downloader.Win32.Agent.tbl

病毒名稱： Trojan-Downloader.Win32.Agent.tbl病毒類型： 下載者檔案 MD5： E465558250F58B1985174B1137CA8176公開範圍： 完全公開危害等級： 4檔案長度： 15,800 位元組感染系統： Windows98以上版本開發工具： Microsoft Visual C++ 6.0加殼類型： nSPack 2.1 - 2.5

基本介紹

  • 中文名：Trojan-Downloader.Win32.Agent.tbl
  • 公開範圍： 完全公開
  • 危害等級： 4
  • 檔案長度： 15,800 位元組
病毒描述：,行為分析：,網路行為:,

病毒描述：

該病毒屬木馬類，病毒運行後，複製自身到%System32%目錄下，並在該目錄下衍生
病毒檔案，複製自身到各個驅動器根目錄下，並衍生autorun.inf檔案；修改註冊表，刪
除錯誤報告的系統服務；鎖定檔案的顯示方式為隱藏；通過向金山的防火牆視窗傳送訊息，
使金山的防火牆失效，試圖關閉卡巴斯基防毒軟體，連線網路下載病毒列表，並依照列表
下載病毒檔案。

行為分析：

本地行為：
1、檔案運行後會釋放以下檔案：
%HomeDrive%\auto.exe
%HomeDrive%\autorun.inf
%DriveLetter%\auto.exe
%DriveLetter%\autorun.inf
%System32%\876BB5D0.EXE
%System32%\B77E6515.DLL
2、新增註冊表：
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet
\Services\CDB756DE]
註冊表值: "Description"
類型： REG_SZ
值： "B77E6515"
描述：服務描述
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet
\Services\CDB756DE]
註冊表值: "isplayName"
類型： REG_SZ
值： "CDB756DE"
描述：服務名稱
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet
\Services\CDB756DE]
註冊表值: "magePath"
類型： REG_SZ
值： "C:\WINDOWS\system32\876BB5D0.EXE -k"
描述：服務映像路徑
3、修改註冊表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Explorer
\Advanced\Folder\Hidden\SHOWALL]
新建鍵值：DWORD："CheckedValue"="0"
原鍵值：DWORD："CheckedValue"="1"
描述: 鎖定檔案的顯示方式為隱藏
4、刪除錯誤報告服務：
服務名稱：Error Reporting Service
服務描述：服務和應用程式在非標準環境下運行時允許錯誤報告。
映像路徑：%SystemRoot%\System32\svchost.exe -k netsvcs
啟動方式：自動

網路行為:

1、連線網路下載病毒列表，並依照病毒列表下載病毒檔案：
http://alexa.ve****.cn//alexa.txt 下載失敗
http://33.xinga****.cn/soft//update.txt 下載檔案列表
http://33.xinga****.cn/soft/soft/f2b4657b5568d072.exe 病毒新版本檔案
2、列表檔案內容如下：
[update]
ver=2008040801
url=http://33.xinga****.cn/soft/soft/f2b4657b5568d072.exe
updatetimer=60
[startpage]
startpage=0
url=ssssssssssssssssssss
[desktop]
desktop=0
count=1
title1=免費網路電話
url1=http://skype.t**.com/download/archive
/01400974/SkypeClient.exe
[file]
[count]
count=0
mecount=0
url=http://nx.51****b.cn/soft/count/count.asp
3、病毒更新版本檔案運行後行為：
1)檔案運行後會釋放以下檔案：
%HomeDrive%\auto.exe
%HomeDrive%\autorun.inf
%DriveLetter%\auto.exe
%DriveLetter%\autorun.inf
%System32%\D02D2E41.EXE
%System32%\E791145A.DLL
2)新增註冊表：
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet
\Services\CDB756DE]
註冊表值: "Description"
類型： REG_SZ
值： "E791145A"
描述：服務描述
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet
\Services\CDB756DE]
註冊表值: "isplayName"
類型： REG_SZ
值： "42AAD55B"
描述：服務名稱
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet
\Services\CDB756DE]
註冊表值: "magePath"
類型： REG_SZ
值： "C:\WINDOWS\system32\D02D2E41.EXE -k"
描述：服務映像路徑
3)修改註冊表：
[KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\Advanced\Folder
\Hidden\SHOWALL]
新建鍵值：DWORD："CheckedValue"="0"
原鍵值：DWORD："CheckedValue"="1"
描述: 鎖定檔案的顯示方式為隱藏
4)刪除錯誤報告服務
服務名稱：Error Reporting Service
服務描述：服務和應用程式在非標準環境下運行時允許錯誤報告。
映像路徑：%SystemRoot%\System32\svchost.exe -k netsvcs
啟動方式：自動
註： %System32% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System資料夾的
位置。
%Windir% 　 　 WINDODWS所在目錄
%DriveLetter%　 　 邏輯驅動器根目錄
%ProgramFiles%　 　 　 系統程式默認安裝目錄
%HomeDrive% 　 當前啟動的系統的所在分區
%Documents and Settings% 　當前用戶文檔根目錄
%Temp% 　\Documents and Settings
\當前用戶\Local Settings\Temp
%System32% 　系統的 System32資料夾
Windows2000/NT中默認的安裝路徑是C:\Winnt\System32
windows95/98/me中默認的安裝路徑是C:\Windows\System
windowsXP中默認的安裝路徑是C:\Windows\System32

熱門詞條

聯絡我們