首 頁  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

木馬下載者Trojan-Downloader.Win32.Agent.ccnm

木馬下載者

Trojan-Downloader.Win32.Agent.ccnm

捕獲時間

2012-10-12

危害等級



病毒癥狀

該樣本是使用“C/C ”編寫的“下載者”,由微點主動防御軟件自動捕獲,采用“UPX”加殼,企圖避過殺軟掃描,加殼后長度為“8,192”字節,圖標為“
”,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播,病毒主要目的是惡意修改用戶系統并下載更多的病毒或木馬后門文件運行。

   用戶中毒后會出現電腦的運行速度變慢,殺軟無故退出而不能啟動,出現大量未知進程等現象。


感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)










如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-Downloader.Win32.Agent.ccnm”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒









未安裝微點主動防御軟件的手動解決辦法:

1.手動刪除文件
"%ProgramFiles%\Internet Explorer\services.exe"
多個"58328787.exe(文件名隨機)"



變量聲明:

  %SystemDriver%       系統所在分區,通常為“C:\”
  %SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
  %Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
  %Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
  %ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1. 比較自身是否為"C:\Program Files\Internet Explorer\services.exe",不是則將自身拷貝重命名為"C:\Program Files\Internet  Explorer\services.exe",并以隱藏的方式執行。
2. 創建新進程,執行"C:\WINDOWS\system32\cmd.exe /c  del 病毒主程序 > nul"將病毒文件自身刪除。
3. "C:\Program Files\Internet Explorer\services.exe"執行之后:
(1)解密網址字符串"http://tvx.clx**.com:5211/list.txt",并下載該文件保存為"C:\Program Files\Common Files\index.log",并以隱藏的方式執行該文件。
(2)讀取并解密文件"C:\Program Files\Common Files\index.log"中游戲進程名稱及木馬下載地址信息。
(3)創建進程快照,枚舉并查找進程"my.exe",找到則下載文件"http://doww.pc**k.com:957/mxy.exe"為"C:\WINDOWS\system\58328787.exe(文件名隨機)"并以隱藏的方式執行。
(4)以上述同樣的方式查找進程"asktao.mod"、"Game.exe"、"DNF.exe"、"elementclient.exe"、"soul.exe"、"MSango.bin"、 "XClient.exe"、"Wow.exe"、"DragonNest.exe"、"C9.exe"、"GacRunner.exe"、"JX3Client.exe"、 "aion.bin"、"QQhxgame.exe"、"QQSG.exe"、"TGame.exe"、"elementclient.exe"、"tw2.exe"、 "GacRunner.dll"、"XCB.dat"、"tty3d.exe"、"NYCSClient.exe"、"zhengtu2.dat"、"Bo.exe"、 "XXZShell.exe"、"mir3.dat"、"cstrike-online.exe"、"fxgame.exe"、"XYClient.exe"、"Diablo III.exe"、"Lobby.exe"、并下載相應木馬程序運行。
(5)獲取本地mac地址、計算機名、操作系統版本等信息發送到"http://tjj.clx**.com:871/count.asp"。
(6)刪除url緩存文件及文件"C:\Program Files\Common Files\index.log"。
(7)睡眠60秒,重復執行上述下載動作。

病毒創建文件:

"%ProgramFiles%\Internet Explorer\services.exe"
"%ProgramFiles%\Common Files\index.log"
多個"58328787.exe(文件名隨機)"

病毒刪除文件:

"%ProgramFiles%\Common Files\index.log"

病毒訪問網絡:

"http://tvx.clx**.com:5211/list.txt"
"http://doww.pc**k.com:957/mxy.exe"等多個木馬下載地址
"http://tjj.clx**.com:871/count.asp"

相關主題:
沒有相關主題

免費試用
下  載
安裝演示

为什么红黑一压大必输 微乐河南麻将辅助器免费版 三期内必开一肖精选期期准 英超女神 波克棋牌239版本 浙江快乐彩开奖号码 股票微信群二维码大全最新 辉煌棋牌app安卓版下载 四肖心水 在线 太行山西麻将安卓下载 网赚兼职论坛 武磊西甲生涯首球 850充值漏洞 十八码中特大公开你敢买吗 河南麻将朋友局官方免费下载 视频网站怎么赚钱的 股票数据分析