Trojan.Tooso.H:簡介,基本信息,防護,廣度,損壞,分發,添加至下列註

Trojan.Tooso.H是一類特洛伊木馬，通過終止進程、停止服務、刪除註冊表項以及刪除檔案來干擾安全軟體的操作。受感染的系統有：Windows 2000、Windows 95、Windows 98、Windows Me、Windows NT、Windows Server 2003、Windows XP。

基本介紹

中文名：Trojan.Tooso.H
發現： 2005 年 4 月 16 日
感染長度： 37,920 bytes
分發級別： Low

簡介,基本信息,防護,廣度,損壞,分發,添加至下列註冊表子鍵,建議,手動防毒,禁用系統還原 (Windows Me/XP),從註冊表刪除值,. 刪除添加到 Windows 主機檔案的行,重新安裝 Symantec 防病毒程式,更新病毒定義,掃描並刪除受感染的檔案,注意,標題: 檔案路徑,

簡介

基本信息

更新： 2007 年 2 月 13 日 12:36:57 PM

別名： Win32.Glieder.{W, Y} [Computer Associates], Email-Worm.Win32.Bagle.{bj, bk} [Kaspersky Lab], W32/Bagle.dll.gen [McAfee], W32/Bagle.gen@MM [McAfee], W32/Bagle. bs.{dr, gen} [McAfee], Troj/BagDl-Gen [Sophos], Troj/BagleDl-N [Sophos], TROJ_BAGLE. BH [Trend Micro]

類型: Trojan Horse （特洛伊木馬）

Trojan.Tooso.H 試圖下載 Trojan.Tooso.F 的副本。

防護

* 病毒定義（每周 LiveUpdate™） 2005 年 4 月 16 日

* 病毒定義（智慧型更新程式） 2005 年 4 月 16 日

威脅評估

廣度

* 廣度級別： Low （低級）

* 感染數量： 0 - 49

* 站點數量： 0 - 2

* 地理位置分布： Low

* 威脅抑制： Easy （容易）

* 清除： Moderate

損壞

* 損壞級別： Medium （中級）

* 有效負載： Downloads and executes arbitrary code.

* 刪除檔案： Deletes files related to security programs.

* 修改檔案： Modifies the Hosts file.

* 危及安全設定： Ends processes of security related programs, deletes registry entires belonging to security related programs and blocks access to several security-relates Web sites.

分發

執行 Trojan.Tooso.H 時，它會執行下列操作：

1. 將自身複製為 %System%\winshost.exe

注意： %System% 是指向 System 資料夾的變數。默認情況下，此資料夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。

2. 刪除以下檔案：

%System%\wiwshost.exe

3. 將值：

"winshost.exe" = "%System%\winshost.exe"

添加至下列註冊表子鍵

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

因此， Trojan.Tooso.H 會在每次啟動 Windows 時運行。

4. 嘗試找到 explorer.exe 進程，並將 wiwshost.exe 植入。所有後續操作都由 wiwshost.exe 執行，但是卻看似由 explorer.exe 執行。

5. 啟動一個執行緒，該執行緒將禁用具有下列名稱的服務：

* Ahnlab task Scheduler

* alerter

* AlertManger

* AVExch32Service

* avg7alrt

* avg7updsvc

* AvgCore

* AvgFsh

* AvgServ

* AVPCC

* avpcc

* AVUPDService

* AvxIni

* awhost32

* backweb client-4476822

* backweb client - 4476822

* BackWeb Client - 7681197

* BlackICE

* CAISafe

* ccEvtMgr

* ccPwdSvc

* ccSetMgr

* ccSetMgr.exe

* DefWatch

* dvpapi

* dvpinit

* F-Secure Gatekeeper Handler Starter

* fsbwsys

* FSDFWD

* fsdfwd

* FSMA

* KAVMonitorService

* kavsvc

* KLBLMain

* McAfee Firewall

* McAfeeFramework

* McShield

* McTaskManager

* mcupdmgr.exe

* MCVSRte

* MonSvcNT

* navapsvc

* Network Associates Log Service

* NISSERV

* NISUM

* NOD32ControlCenter

* NOD32Service

* Norman NJeeves

* Norman ZANDA

* Norton Antivirus Server

* NPFMntor

* NProtectService

* NSCTOP

* nvcoas

* NVCScheduler

* nwclntc

* nwclntd

* nwclnte

* nwclntf

* nwclntg

* nwclnth

* NWService

* Outbreak Manager

* Outpost Firewall

* OutpostFirewall

* PASSRV

* PAVFNSVR

* Pavkre

* PavProt

* PavPrSrv

* PAVSRV

* PCCPFW

* PersFW

* PREVSRV

* PSIMSVC

* ravmon8

* SAVFMSE

* SAVScan

* SBService

* schscnt

* sharedaccess

* SharedAcces

* SmcService

* SNDSrvc

* SPBBCSvc

* SweepNet

* SWEEPSRV.SYS

* Symantec AntiVirus Client

* Symantec Core LC

* Tmntsrv

* V3MonNT

* V3MonSvc

* VexiraAntivirus

* VisNetic AntiVirus Plug-in

* vsmon

* wuauserv

* XCOMM

6. 嘗試刪除下列註冊表項，從而在啟動 Windows 時禁止運行與安全相關的程式：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfee.InstantUpdate.Monitor

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\APVXDWIN

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\avg7_cc

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\avg7_emc

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ccApp

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAV50

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfee Guardian

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NAV CfgWiz

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SSC_UserPrompt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Symantec NetDriver Monitor

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Zone Labs Client

HKEY_LOCAL_MACHINE\SOFTWARE\Agnitum

HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab

HKEY_LOCAL_MACHINE\SOFTWARE\McAfee

HKEY_LOCAL_MACHINE\SOFTWARE\Panda Software

HKEY_LOCAL_MACHINE\SOFTWARE\Symantec

HKEY_LOCAL_MACHINE\SOFTWARE\Zone Labs

7. 啟動一個執行緒，該執行緒將嘗試從所有固定驅動器中刪除具有下列名稱的所有檔案的實例：

* a5v.dll

* AUPD1ATE.EXE

* AUPDATE.EXE

* av.dll

* Av1synmgr.exe

* Avc1onsol.exe

* Avconsol.exe

* avg23emc.exe

* avgc3c.exe

* avgcc.exe

* avgemc.exe

* Avsynmgr.exe

* C1CSETMGR.EXE

* c6a5fix.exe

* cafix.exe

* CC1EVTMGR.EXE

* cc1l30.dll

* ccApp.exe

* CCEVTMGR.EXE

* ccl30.dll

* CCSETMGR.EXE

* ccv1rtrst.dll

* ccvrtrst.dll

* CM1Grdian.exe

* CMGrdian.exe

* is5a6fe.exe

* isafe.exe

* K2A2V.exe

* KAV.exe

* kav12mm.exe

* kavmm.exe

* LUAL1L.EXE

* LUALL.EXE

* LUI1NSDLL.DLL

* LUINSDLL.DLL

* Luup1date.exe

* Luupdate.exe

* Mcsh1ield.exe

* Mcshield.exe

* mysuperprog.exe

* NAV1APSVC.EXE

* NAVAPSVC.EXE

* NPFM1NTOR.EXE

* NPFMNTOR.EXE

* outp1ost.exe

* outpost.exe

* RuLa1unch.exe

* RuLaunch.exe

* s1ymlcsvc.exe

* SND1Srvc.exe

* SNDSrvc.exe

* SP1BBCSvc.exe

* SPBBCSvc.exe

* symlcsvc.exe

* Up222Date.exe

* Up2Date.exe

* ve6tre5dir.dll

* vetredir.dll

* Vs1Stat.exe

* vs6va5ult.dll

* Vshw1in32.exe

* Vshwin32.exe

* VsStat.exe

* vsvault.dll

* zatu6tor.exe

* zatutor.exe

* zl5avscan.dll

* zlavscan.dll

* zlcli6ent.exe

* zlclient.exe

* zo3nealarm.exe

* zonealarm.exe

8. 啟動一個執行緒，該執行緒將嘗試停止下列服務：

* SharedAccess

* wscsvc

9. 啟動一個執行緒，該執行緒將嘗試終止具有下列名稱的進程：

* ATUPDATER.EXE

* AUPDATE.EXE

* AUTODOWN.EXE

* AUTOTRACE.EXE

* AUTOUPDATE.EXE

* AVPUPD.EXE

* AVWUPD32.EXE

* AVXQUAR.EXE

* CFIAUDIT.EXE

* DRWEBUPW.EXE

* ESCANH95.EX

* ESCANHNT.EXE

* FIREWALL.EXE

* ICSSUPPNT.EXE

* ICSUPP95.EXE

* LUALL.EXE

* MCUPDATE.EXE

* NUPGRADE.EXE

* OUTPOST.EXE

* UPDATE.EXE

* UPGRADER.EXE

10. 啟動一個執行緒，該執行緒將嘗試以給定順序從下列域中下載檔案。在啟動該特洛伊木馬時進行第一次嘗試，隨後每隔六小時嘗試一次。該特洛伊木馬下載 %Windir%\_re_file.exe 並運行該檔案。該下載檔案被檢測

11. 用下列行覆蓋受感染計算機的主機檔案，以禁止對下列相應的安全相關網站的訪問：

建議

賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。

* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。

* 強制執行密碼策略。複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附屬檔案。並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。

使用 W32.Beagle@mm 防毒工具防毒

Symantec 安全回響中心已開發了一種防毒工具，可用來清除 Trojan.Tooso.H 感染。請先使用該防毒工具，這是消除此類威脅的最簡方法。

手動防毒

以下指導適用於最新和最近的所有 Symantec 防病毒產品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品）。

1. 禁用系統還原 (Windows Me/XP)。

2. 刪除添加到註冊表的值，然後重新啟動 Windows。

3. 刪除添加到主機檔案中的行。

4. 重新安裝 Symantec 防病毒程式。

5. 更新病毒定義。

6. 運行完整的系統掃描，並刪除所有被檢測為 Trojan.Tooso.H 的檔案。

有關每個步驟的詳細信息，請參閱以下指導。

禁用系統還原 (Windows Me/XP)

如果正在運行 Windows Me 或 Windows XP，建議您暫時關閉系統還原功能。默認情況下啟用此功能，一旦計算機中的檔案被破壞，Windows Me/XP 可使用此功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在此計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程式在內的外部程式修改系統還原功能。因此，防病毒程式或工具無法清除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。

此外，病毒掃描也可能在 System Restore 資料夾中檢測到威脅，即使您已清除此威脅。

有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：

* "如何禁用或啟用 Windows Me 系統還原

* "如何關閉或打開 Windows XP 系統還原”

注意：當您完全完成防毒步驟並確定威脅已清除後，請按照上述文檔中的指導重新啟用系統還原。

有關其他信息以及禁用 Windows Me 系統還原功能的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案（文章 ID ）。

從註冊表刪除值

重要信息： Symantec 強烈建議在進行任何更改前先備份註冊表。錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。應只修改指定的子鍵。有關指導，請參閱文檔：如何備份 Windows 註冊表。

1. 單擊“開始”>“運行”。

2. 鍵入 regedit

3. 單擊“確定”。

4. 導航至子鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

5. 在右窗格中，刪除以下值：

"winshost.exe" = "%System%\winshost.exe"

6. 退出註冊表編輯器。

. 刪除添加到 Windows 主機檔案的行

因為該特洛伊木馬會覆蓋 Windows 主機檔案，必須刪除該檔案的內容（其中一行除外），以便可以訪問許多網站。

注意：如果您所處的是公司網路，則可能已經擁有自定義主機檔案。建議您在繼續操作之前與網路管理員聯繫。

請根據您的作業系統執行相應的操作：

* Windows 95/98/Me/NT/2000

1. 單擊“開始”，指向“查找”或“搜尋”，然後單擊“檔案或資料夾”。

2. 確保“搜尋範圍”設定為 (C:) 並選中了“包含子資料夾”。

3. 在“名稱”或“搜尋...”框中鍵入：

hosts

4. 單擊“開始查找”或“立即搜尋”。

5. 右鍵單擊找到的每個主機檔案，然後單擊“打開方式”。

6. 取消選中“始終使用該程式打開這些檔案”複選框。

7. 滾動程式列表，雙擊“記事本”。

8. 檔案打開時，請刪除主機檔案中的所有條目，以下行除外：

127.0.0.1 localhost

9. 關閉“記事本”，並在出現提示時保存更改。

* Windows XP

1. 單擊“開始”>“搜尋”。

2. 單擊“所有檔案和資料夾”。

3. 在“全部或部分檔案名稱”框中鍵入：

hosts

4. 請確認“在這裡尋找”設定為“本地硬碟”或 (C:)。

5. 單擊“更多高級選項”。

6. 選中“搜尋系統資料夾”。

7. 選中“搜尋子資料夾”。

8. 單擊“搜尋”。

9. 單擊“開始查找”或“立即搜尋”。

10. 右鍵單擊找到的每個主機檔案，然後單擊“打開方式”。

11. 取消選中“始終使用該程式打開這些檔案”複選框。

12. 滾動程式列表，雙擊“記事本”。

13. 檔案打開時，請刪除主機檔案中的所有條目，以下行除外：

127.0.0.1 localhost

14. 關閉“記事本”，並在出現提示時保存更改。

重新安裝 Symantec 防病毒程式

因為該病毒會試圖刪除 Symantec 防病毒程式使用的檔案和註冊表子鍵，所以需要重新安裝該程式。如果 Symantec 防病毒程式運行不正常，請卸載，然後重新安裝。

更新病毒定義

Symantec 安全回響中心在向我們的伺服器發布任何病毒定義之前，會對其進行全面測試以保證質量。有兩種方法可以獲得最新的病毒定義：

o 運行 LiveUpdate，這是獲得病毒定義的最簡單方法：如果未出現重大的病毒爆發情況，這些病毒定義會在 LiveUpdate 伺服器上每周發布一次（一般為星期三）。要確定是否可通過 LiveUpdate 獲得用於此威脅的定義，請參閱文檔：病毒定義 (LiveUpdate)。

o 使用智慧型更新程式下載定義：智慧型更新程式病毒定義每天發布一次。您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。要確定是否可通過智慧型更新程式獲得用於此威脅的定義，請參閱文檔：病毒定義（智慧型更新程式）。

可由此處獲得最新的智慧型更新程式病毒定義：智慧型更新程式病毒。有關詳細指導，請參閱文檔：如何使用智慧型更新程式更新病毒定義檔案。

掃描並刪除受感染的檔案

1. 啟動 Symantec 防病毒程式，並確保將它配置為掃描所有檔案。

* 對於 Norton AntiVirus 單機版產品，請參閱文檔：如何配置 Norton AntiVirus 以掃描所有檔案。

* 對於 Symantec AntiVirus 企業版產品，請參閱文檔：如何確定 Symantec 企業版防病毒產品是否已設定為掃描所有檔案。

2. 運行完整的系統掃描。

3. 如果檢測到任何檔案感染了 Trojan.Tooso.H，請單擊“刪除”。

注意

如果您的 Symantec 防病毒產品報告無法刪除受感染檔案，Windows 可能正在使用該檔案。要解決該問題，請在安全模式下運行掃描。有關指導，請參閱文檔：如何以安全模式啟動計算機。以安全模式重新啟動後，再次運行掃描。

刪除檔案之後，請以正常模式重新啟動計算機，然後繼續進行第 4 部分。

計算機重新啟動時可能會顯示警告訊息，因為此時尚未完全清除威脅。請忽略這些訊息，並單擊“確定”。徹底完成清除操作之後，再重新啟動計算機時不會出現這些訊息。所顯示的訊息可能與此相似：

標題: 檔案路徑

訊息正文: Windows 找不到 [檔案名稱]。請確保鍵入了正確的名稱，然後重試。要搜尋檔案，請單擊“開始”按鈕，然後單擊“搜尋”。

描述者： John Park

Trojan.Tooso.H