Trojan-Downloader.Win32.Delf.avn:介紹,行為分析,

該病毒屬木馬類，病毒運行後連線網路，下載病毒檔案並運行，修改註冊表，添加啟動項，以達到隨機啟動的目的，修改可執行程式的打開方式，造成部分可執行程式無法使用。下載的病毒檔案可以記錄鍵盤操作，從而盜取用戶的敏感信息，網路遊戲魔獸世界、傳奇、QQ等賬號及密碼，並保存到檔案中，以郵件的形式傳送給病毒作者。病毒進程在任務管理器中顯示為LSASS.EXE與系統進程lsass.exe相近，用以迷惑用戶，他們的區別是大小寫及用戶名。

基本介紹

中文名：Trojan-Downloader.Win32.Delf.avn
病毒類型：木馬
公開範圍：完全公開
危害等級：中
檔案長度：10,752位元組
感染系統：Windows98以上版本

介紹,行為分析,病毒運行後連線網路、下載病毒檔案,隨即啟動,盜取個人信息,迷惑用戶,清除方案,

介紹

病毒名稱：Trojan-Downloader.Win32.Delf.avn

病毒類型：木馬

檔案MD5：41B943A8EB3928B4C336841A6288EFFA

開發工具：BorlandDelphi6.0-7.0

加殼類型：UPX0.89.6-1.02

命名對照：Symentec[Infostealer]

Mcafee[無]

行為分析

病毒運行後連線網路、下載病毒檔案

協定：TCP

IP：222.208.183.199:80(四川省眉山市電信)

域名：http://down.136136.net

相關下載：http://down.136136.net/down/host.txt

http://down.136136.net/down/

update\updatexxd.exe

update\updatexdxd.exe

update\updatexdxd4.exe

本地連線埠：隨機開啟本地1024以上連線埠，如：1158

下載病毒檔案路徑名

%windir%\exert.exe

%windir%\io.sys.bak

%windir%\lsass.exe

%system32%\dxdiag.com

%system32%\msconfig.com

%system32%\msime.exe

%system32%\ntdhcp.exe

%system32%\regedit.com

病毒名

Trojan-PSW.Win32.WOW.m

Trojan-PSW.Win32.Lmir.awg

Trojan-PSW.Win32.QQRob.ha

Trojan-PSW.Win32.WOW.m

描述

盜取魔獸世界賬號與密碼

保存記錄鍵盤操作

盜取魔獸世界賬號與密碼

盜取傳奇賬號與密碼

盜取QQ賬號與密碼

盜取魔獸世界賬號與密碼

隨即啟動

修改註冊表，添加啟動項，以達到隨機啟動的目的

新建註冊表項：

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\

鍵值: 字串: "Check_Associations "="No"

HKEY_CURRENT_USER\Software\Microsoft\Windows

\ShellNoRoam\MUICache\C:\Program Files\common~1

鍵值: 字串: "INTEXPLORE.pif "="INTEXPLORE"

HKEY_CURRENT_USER\Software\VB and VBA Program Settings

\Microsoft Soft Debuger\Settings\

鍵值: 字串: "GUID"="{328E1Q-0OP0K4-BYDP3D-OX0426-8JFO39}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WindowFiles\DefaultIcon

鍵值: 字串: "@"="%1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WindowFiles\Shell\Open\Command

鍵值: 字串: "@"="C:\WINDOWS\EXERT.exe "%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

\INTEXPLORE.pif\

鍵值: 字串: "LocalizedString "="INTEXPLORE"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

\INTEXPLORE.pif\shell\open\command

鍵值: 字串: "@"=""C:\Program Files\common~1\INTEXPLORE.pif""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion

\policies\Explorer\Run\

鍵值: 字串: " KernelFaultCheck " ="C:\WINDOWS\system32\msime.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

鍵值: 字串: " NTdhcp " ="C:\WINDOWS\system32\NTdhcp.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

鍵值: 字串: " ToP " ="C:\WINDOWS\LSASS.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kmixer\Enum

鍵值: 字串: " 0" ="SW\{b7eafdc0-a680-11d0-96d8-00aa0051e51d}

\ {9B365890-165F-11D0-A195-0020AFD156E4}"

修改註冊表項，修改可執行程式的打開方式，造成部分可執行程式無法使用：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe

新建鍵值: 字串: "@"="WindowFiles"

原鍵值: 字串: "@"="exefile"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications

\iexplore.exe\shell\open\command

新建鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\INTEXPLORE.com" %1"

原鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-

42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command

新建鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\INTEXPLORE.com""

舊: 類型: "@"="C:\Program Files\Internet Explorer

\iexplore.exe".

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command

新建鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\INTEXPLORE.com" %1"

原鍵值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open

\command

新建鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\INTEXPLORE.com" -nohome"

原鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell

\opennew\command

新建鍵值: 字串: "@"=""C:\Program Files\common~1

\INTEXPLORE.pif" %1"

原鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell

\open\command

新建鍵值: 字串: "@"=""C:\Program Files\common~1

\INTEXPLORE.pif" -nohome"

原鍵值: 字串: "@"=""C:\Program Files\Internet Explorer

\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

新建鍵值: 字串: "@"="INTEXPLORE.pif"

原鍵值: 字串: "@"="IEXPLORE.EXE"

盜取個人信息

下載的病毒檔案可以記錄鍵盤操作，從而盜取用戶的敏感信息，網路遊戲魔獸世界、傳奇、QQ等賬號及密碼，並保存到檔案中，以郵件的形式傳送給病毒作者。

信箱地址：[email protected]

迷惑用戶

病毒進程在任務管理器中顯示為LSASS.EXE與系統進程lsass.exe相近，用以迷惑用戶，他們的區別是大小寫及用戶名。

註：%windir%是一個可變路徑。病毒通過查詢作業系統來決定當前windows資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt，windows95/98/me/xp中默認的安裝路徑是C:\Windows。

% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天木馬防線“進程管理”關閉病毒進程

(2) 刪除病毒檔案

%windir%\exert.exe

%windir%\io.sys.bak

%windir%\lsass.exe

%system32%\dxdiag.com

%system32%\msconfig.com

%system32%\msime.exe

%system32%\ntdhcp.exe

%system32%\regedit.com

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項

恢復以下被修改的註冊表項：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe

新建鍵值: 字串: "@"="WindowFiles"

原鍵值: 字串: "@"="exefile"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications

\iexplore.exe\shell\open\command

新建鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\INTEXPLORE.com" %1"

原鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID

\{871C5380-42A0-1069-A2EA-08002B30309D}\shell

\OpenHomePage\Command

新建鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\INTEXPLORE.com""

舊: 類型: "@"="C:\Program Files\Internet Explore

r\iexplore.exe".

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell

\open\command

新建鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\INTEXPLORE.com" %1"

原鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile

\shell\open\command

新建鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\INTEXPLORE.com" -nohome"

原鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile

\shell\opennew\command

新建鍵值: 字串: "@"=""C:\Program Files\common~1

\INTEXPLORE.pif" %1"

原鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\iexplore.exe" %1"、

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell

\open\command

新建鍵值: 字串: "@"=""C:\Program Files\common~1

\INTEXPLORE.pif" -nohome"

原鍵值: 字串: "@"=""C:\Program Files\Internet

Explorer\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

新建鍵值: 字串: "@"="INTEXPLORE.pif"

原鍵值: 字串: "@"="IEXPLORE.EXE"

刪除以下註冊表項：

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer

\Main\

鍵值: 字串: "Check_Associations "="No"

HKEY_CURRENT_USER\Software\Microsoft\Windows

\ShellNoRoam\MUICache\C:\Program Files\common~1

鍵值: 字串: "INTEXPLORE.pif "="INTEXPLORE"

HKEY_CURRENT_USER\Software\VB and VBA Program Settings

\Microsoft Soft Debuger\Settings\

鍵值: 字串: "GUID"="{328E1Q-0OP0K4-BYDP3D-OX0426-8JFO39}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WindowFiles

\DefaultIcon

鍵值: 字串: "@"="%1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WindowFiles

\Shell\Open\Command

鍵值: 字串: "@"="C:\WINDOWS\EXERT.exe "%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

\INTEXPLORE.pif\

鍵值: 字串: "LocalizedString "="INTEXPLORE"

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

\INTEXPLORE.pif\shell\open\command

鍵值: 字串: "@"=""C:\Program Files\common~1

\INTEXPLORE.pif""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\policies\Explorer\Run\

鍵值: 字串: " KernelFaultCheck " ="C:\WINDOWS

\system32\msime.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\

鍵值: 字串: " NTdhcp " ="C:\WINDOWS\system32

\NTdhcp.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\

鍵值: 字串: " ToP " ="C:\WINDOWS\LSASS.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services

\kmixer\Enum

鍵值: 字串: " 0" ="SW\{b7eafdc0-a680-11d0-96d8-00aa0051e51d}

\ {9B365890-165F-11D0-A195-0020AFD156E4}"

Trojan-Downloader.Win32.Delf.avn

基本介紹

介紹

行為分析

病毒運行後連線網路、下載病毒檔案

隨即啟動

盜取個人信息

迷惑用戶

清除方案

相關詞條

熱門詞條