主题 : 7月30日病毒预报-- 木马下载器Trojan-Downloader.Win32.Small.wvq
喝水都长膘
级别: 正式版主

显示用户信息
0  发表于: 2008-07-29 22:07

7月30日病毒预报-- 木马下载器Trojan-Downloader.Win32.Small.wvq

病毒名称
Trojan-Downloader.Win32.Small.wvq
捕获时间
2008-07-29
病毒摘要
  该样本是使用“Delphi”编写的“木马下载器”程序,由微点主动防御软件自动捕获,采用“UPACK”加壳方式试图躲避特征码扫描,加壳后长度为“7,872 字节”,图标为

,使用“ exe”的扩展名,主要通过“网页木马”、“文件捆绑”的方式传播,病毒执行后从指定网址下载多数盗号木马程序到本地运行。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑
安全提示
  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1);

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"Trojan-Downloader.Win32.Small.wvq”,请直接选择删除(如图2)。

  对于未使用微点主动防御软件的用户,微点反病毒专家建议:
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新,及时打好漏洞补丁。

病毒分析
该样本程序被执行后,在%SystemRoot%\system32\drivers\目录下释放驱动文件“yqrabpc.sys”,文件名使用随机数得出;调用SCM写注册表,将驱动文件“yqrabpc.sys”注册为服务,使用相关API函数启动被注册的服务,达到恢复SSDT使部分杀毒软件监控失效的作用。
  Quote:
项:HKLM\SYSTEM\CurrentControlSet\Services\abpcxy\
键值:DisplayName
指向数据:abpcxy
项:HKLM\SYSTEM\CurrentControlSet\Services\abpcxy\
键值:ImagePath
指向文件:%SystemRoot%\system32\drivers\abpcxy.sys
项:HKLM\SYSTEM\CurrentControlSet\Services\abpcxy\
键值:Start
指向数据:03
遍历进程查找系统中是否存在“avp.exe”进程,如果存在则修改系统时间,使部分依赖时间机制的杀毒软件不能正常使用;使用映像劫持手段使得如下安全软件不能够正常启动:
  Quote:
360rpt.exe 
360Safe.exe
360tray.exe
adam.exe
AgentSvr.exe
AntiArp.exe
AppSvc32.exe
autoruns.exe
avconsol.exe
avgrssvc.exe
AvMonitor.exe
avp.com
avp.exe
CCenter.exe
ccSvcHst.exe
DrvAnti.exe
使用API函数URLDownloadToFileA从恶意网址 http://53gg***c.cn/my.txt读取病毒下载列表,下载多数盗号木马到本地执行。











家里补差的
级别: 管理员

显示用户信息
1  发表于: 2008-11-14 20:01

谢谢楼主整理采集
Time now is:12-11 09:12, Gzip disabled
Powered by PHPWind v7.3.2 Certificate Game Code © 2003-09 免费之家 Corporation
人人为我,我为人人 赣ICP备05003878号