基本介紹
- 中文名：Trojan.Downloader.Win32.Agent
- 病毒類型 ：機器狗變種
- 公開範圍：完全公開
- 危害等級： 4
病毒信息,本地行為,網路行為,清除方案,
病毒信息
病毒名稱： Trojan-Downloader.Win32.Agent.qpv
檔案 MD5： 189ED63C1B967C365457B31E17EFDE00
檔案長度： 9,728 位元組
感染系統： Windows98以上版本
開發工具： Microsoft Visual C++ 6.0
加殼類型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
本地行為
1、檔案運行後會釋放以下檔案：
%Windir%\AppPatch\Jview.dll 13,824 位元組
%Windir%\AppPatch \AcXtrnel.dll 9,216 位元組
2、添加註冊表病毒啟動項：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\
\InprocServer32]
新建鍵值: "@"
類型： REG_SZ
字元串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加註冊表項，以達到隨機啟動的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\
\InprocServer32]
新建鍵值: "ThreadingModel"
類型： REG_SZ
字元串： “Apartment”
描述: 註冊CLSID值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion
\ShellServiceObjectDelayLoad]
新建鍵值: "JavaView"
類型： REG_SZ
字元串： “”
3、創建rundll32.exe使該進程載入病毒DLL檔案。
4、連線網路讀取列表下載大量惡意病毒檔案到本地執行。
網路行為
協定：TCP
連線埠：53
連線伺服器名：125.83.89.**
IP位址：125.83.89.**
描述：連線伺服器讀取TXT列表內容下載病毒，讀取的列表內容：
http://125.83.89.**:53/10.gif
http://125.83.89.**:53/11.gif
http://125.83.89.**:53/12.gif
http://125.83.89.**:53/13.gif
http://125.83.89.**:53/14.gif
http://125.83.89.**:53/15.gif
http://125.83.89.**:53/16.gif
http://125.83.89.**:53/17.gif
http://125.83.89.**:53/18.gif
http://125.83.89.**:53/19.gif
http://125.83.89.**:53/2.gif
http://125.83.89.**:53/20.gif
http://125.83.89.**:53/3.gif
http://125.83.89.**:53/4.gif
http://125.83.89.**:53/5.gif
http://125.83.89.**:53/6.gif
http://125.83.89.**:53/7.gif
http://125.83.89.**:53/8.gif
http://125.83.89.**:53/9.gif
http://abc.updat****.cn/21.gif
http://abc.updat****.cn/22.gif
http://abc.updat****.cn/23.gif
http://abc.updat****.cn/24.gif
http://abc.updat****.cn/25.gif
http://abc.updat****.cn/26.gif
http://abc.updat****.cn/27.gif
http://abc.updat****.cn/28.gif
http://abc.updat****.cn/29.gif
http://abc.updat****.cn/30.gif
http://abc.updat****.cn/31.gif
http://abc.updat****.cn/32.gif
http://abc.updat****.cn/33.gif
http://abc.updat****.cn/34.gif
http://abc.updat****.cn/35.gif
註： %System32% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System資料夾的位置。
%Windir% WINDODWS所在目錄
%DriveLetter% 邏輯驅動器根目錄
%ProgramFiles% 系統程式默認安裝目錄
%HomeDrive% 當前啟動的系統的所在分區
%Documents and Settings% 當前用戶文檔根目錄
%Temp% \Documents and Settings\當前用戶\Local Settings\Temp
%System32% 系統的 System32資料夾
Windows2000/NT中默認的安裝路徑是C:\Winnt\System32
windows95/98/me中默認的安裝路徑是C:\Windows\System
windowsXP中默認的安裝路徑是C:\Windows\System32
清除方案
1 、使用安天防線可徹底清除此病毒 2 、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1)使用ATOOL“進程管理”找到rundll32.exe進程結束該進程 (2)強行刪除病毒檔案：
%Windir%\AppPatch\Jview.dll
%Windir%\AppPatch \AcXtrnel.dll
(3)刪除病毒服務註冊表項：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\
\InprocServer32]
新建鍵值: "@"
類型： REG_SZ
字元串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加註冊表項，以達到隨機啟動的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\CLSID\
\InprocServer32]
新建鍵值: "ThreadingModel"
類型： REG_SZ
字元串： “Apartment”
描述: 註冊CLSID值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion
\ShellServiceObjectDelayLoad]
新建鍵值: "JavaView"
類型： REG_SZ
字元串： “”
