Trojan-Downloader.Win32.Agent.ue

Trojan-Downloader.Win32.Agent.ue病毒屬木馬類，病毒運行後衍生病毒檔案，修改註冊表，添加啟動項，以達到隨機啟動的目的，連線網路，下載大量病毒檔案，並自動運行，修改。exe檔案的關聯檔案，使可exe檔案無法正常運行。

基本介紹

• 中文名：落雪變種
• 外文名：Trojan-Downloader.Win32.Agent.ue
• 屬性：病毒
• 類型：木馬

基本信息

病毒名稱

Trojan-Downloader.Win32.Agent.ue

中文名稱

落雪變種

病毒類型

木馬

檔案 MD5

D66859A23DA410C0CA9E8DAF387565B9

公開範圍

完全公開

危害等級

5

檔案長度

19,968 位元組

感染系統

windows98以上版本

開發工具

Microsoft Visual C++ 6.0 DLL

加殼類型

tElock 0.99 - 1.0 private

命名對照

驅逐艦[Trojan.Downloader.8019]

BitDefender [Trojan.Downloader.Agent.UE]

行為分析

病毒運行後衍生病毒檔案，

病毒運行後衍生病毒檔案，連線網路下量病毒檔案，並自動運行：

%Program Files%\Common Files\iexplore.pif

%Program Files%\Internet Explorer\iexplore.com

%WINDOWS%\1.com

%WINDOWS%\608769.dll

%WINDOWS%\608769m.bmp

%WINDOWS%\exeroute.exe

%WINDOWS%\explorer.com

%WINDOWS%\finder.com

%WINDOWS%\kb608769m.log

%WINDOWS%\winlogon.exe

%system32%\command.pif

%system32%\dlmain.dll

%system32%\dlmon.dll

%system32%\dxdiag.com

%system32%\finder.com

%system32%\msconfig.com

%system32%\regedit.com

%system32%\rundll32.com

添加啟動項

添加啟動項，以達到隨機啟動的目的：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

鍵值: 字串: "Trojan Program "="C:\WINDOWS\WINLOGON.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\@

新建鍵值: 字串: "winfiles"

原鍵值: 字串: "exefile"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew\Command

新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com %SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"

原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew\Command

新建鍵值: 字串: "rundll32.com appwiz.cpl,NewLinkHere %1"

原鍵值: 字串: "rundll32.exe appwiz.cpl,NewLinkHere %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications

\iexplore.exe\shell\open\command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com" %1"

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com""

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command\@

新建鍵值: 字串: "rundll32.com shell32.dll,Control_RunDLL "%1",%*"

原鍵值: 字串: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command\@

新建鍵值: 字串: "%SystemRoot%\explorer.com"

原鍵值: 字串: "%SystemRoot%\explorer.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command\@

新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com NETSHELL.DLL, InvokeDunFile %1"

原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe NETSHELL.DLL, InvokeDunFile %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com" %1"

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com" -nohome"

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\command\@

新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" %1"

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command\@

新建鍵值: 字串: "rundll32.com %SystemRoot%\system32\mshtml.dll,PrintHTML "%1""

原鍵值: 字串: "rundll32.exe %SystemRoot%\system32\mshtml.dll,PrintHTML "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open\command\@

新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" -nohome"

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\@

新建鍵值: 字串: "%SystemRoot%\System32\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"

原鍵值: 字串: "%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection

DefaultInstall 132 %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut\shell\open\command\@

新建鍵值: 字串: "finder.com shdocvw.dll,OpenURL %l"

原鍵值: 字串: "rundll32.exe shdocvw.dll,OpenURL %l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\install\command\@

新建鍵值: 字串: "finder.com desk.cpl,InstallScreenSaver %l"

原鍵值: 字串: "rundll32.exe desk.cpl,InstallScreenSaver %l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command\@

新建鍵值: 字串: ""C:\WINDOWS\system32\finder.com"

C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""

原鍵值: 字串: ""C:\WINDOWS\system32\RUNDLL32.EXE" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command\@

新建鍵值: 字串: "finder.com url.dll,TelnetProtocolHandler %l"

原鍵值: 字串: "rundll32.exe url.dll,TelnetProtocolHandler %l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command\@

新建鍵值: 字串: "%SystemRoot%\system32\finder.com %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"

原鍵值: 字串: "%SystemRoot%\system32\finder.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\@

新建鍵值: 字串: "iexplore.pif"

原鍵值: 字串: "IEXPLORE.EXE"

修改.exe檔案

修改.exe檔案的關聯檔案，使可exe檔案無法正常運行。

註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

--------------------------------------------------------------------------------

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天木馬防線“進程管理”關閉病毒進程

(2) 刪除病毒檔案

%Program Files%\Common Files\iexplore.pif

%Program Files%\Internet Explorer\iexplore.com

%WINDOWS%\1.com

%WINDOWS%\608769.dll

%WINDOWS%\608769m.bmp

%WINDOWS%\exeroute.exe

%WINDOWS%\explorer.com

%WINDOWS%\finder.com

%WINDOWS%\kb608769m.log

%WINDOWS%\winlogon.exe

%system32%\command.pif

%system32%\dlmain.dll

%system32%\dlmon.dll

%system32%\dxdiag.com

%system32%\finder.com

%system32%\msconfig.com

%system32%\regedit.com

%system32%\rundll32.com

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run"鍵值: 字串: "Trojan Program

"="C:\WINDOWS\WINLOGON.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\@

新建鍵值: 字串: "winfiles"

原鍵值: 字串: "exefile"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew\Command

新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com

%SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"

原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe

%SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew\Command

新建鍵值: 字串: "rundll32.com appwiz.cpl,NewLinkHere %1"

原鍵值: 字串: "rundll32.exe appwiz.cpl,NewLinkHere %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications

\iexplore.exe\shell\open\command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.com" %1"

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-

42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.com""

原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell

\cplopen\command\@

新建鍵值: 字串: "rundll32.com shell32.dll,Control_RunDLL "%1",%*"

原鍵值: 字串: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command\@

新建鍵值: 字串: "%SystemRoot%\explorer.com"

原鍵值: 字串: "%SystemRoot%\explorer.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command\@

新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com NETSHELL.DLL, InvokeDunFile %1"

原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe NETSHELL.DLL, InvokeDunFile %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.com" %1"

原鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell

\open\command\@

新建鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.com" -nohome"

原鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell

\opennew\command\@

新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" %1"

原鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command\@

新建鍵值: 字串: "rundll32.com %SystemRoot%\system32

\mshtml.dll,PrintHTML "%1""

原鍵值: 字串: "rundll32.exe %SystemRoot%\system32

\mshtml.dll,PrintHTML "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open

\command\@

新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" -nohome"

原鍵值: 字串: ""C:\Program Files\Internet Explorer

\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\@

新建鍵值: 字串: "%SystemRoot%\System32\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"

原鍵值: 字串: "%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut

\shell\open\command\@

新建鍵值: 字串: "finder.com shdocvw.dll,OpenURL %l"

原鍵值: 字串: "rundll32.exe shdocvw.dll,OpenURL %l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\install\command\@

新建鍵值: 字串: "finder.com desk.cpl,InstallScreenSaver %l"

原鍵值: 字串: "rundll32.exe desk.cpl,InstallScreenSaver %l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command\@

新建鍵值: 字串: ""C:\WINDOWS\system32\finder.com" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""

原鍵值: 字串: ""C:\WINDOWS\system32\RUNDLL32.EXE" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command\@

新建鍵值: 字串: "finder.com url.dll,TelnetProtocolHandler %l"

原鍵值: 字串: "rundll32.exe url.dll,TelnetProtocolHandler %l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command\@

新建鍵值: 字串: "%SystemRoot%\system32\finder.com %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"

原鍵值: 字串: "%SystemRoot%\system32\finder.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\@

新建鍵值: 字串: "iexplore.pif"

原鍵值: 字串: "IEXPLORE.EXE"