Trojan-Downloader.win32.IEheap.Gen

病毒名称： Trojan-Downloader.win32.IEheap.Gen

病毒类型：木马

文件 MD5： 649153D5E4AE4C5172A7B121B74E224F

公开范围： 完全公开

危害等级： 2

文件长度： 20,480 字节

感染系统： windows98以上系统

开发工具： Microsoft Visual C++ 6.0

加壳类型： 无

命名对照：驱逐舰[无]

BitDefender[无]

病毒描述：

该病毒属木马类，病毒运行后衍生病毒文件到系统目录下，修改注册表，添加启动项，以达到随开机启动的目的，连接网络，在系统根目录下新建文件夹TDdownload，并下载病毒文件到此文件夹中。

行为分析：

1、病毒运行后衍生病毒文件到系统目录下：

%WINDIR%f2.exe

%system32%advport.dll

%system32%idirk.dll

%system32%jyxkc.dll

%system32%

undllfromwin2000.exe

%system32%score.txt

2、修改注册表，添加启动项，以达到随开机启动的目的：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRun

键值: 字串: "System"="C:Program FilesCommon FilesSystemUpdaterun.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_DATEING000Control

键值: 字串: "ActiveService"="DATEING"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_DATEING000

键值: 字串: "DeviceDesc"="Network IPSEC Connections"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_DATEING000

键值: 字串: "Legacy"="1"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_DATEING000

键值: 字串: "Service"="DATEING"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesDATEING

键值: 字串: "Description"="提供安全的网络和拨号连接服务，

记录局域网和远程连接通讯的目标机器信息。"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesDATEING

键值: 字串: "DisplayName"="Network IPSEC Connections"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesDATEINGEnum

键值: 字串: "0"="RootLEGACY_DATEING000"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicense

键值: 字串: "Description"="启用 Windows 的系统监视器，

保护 Windows 的程序正常运行。无法终止此服务。"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicense

键值: 字串: "DisplayName"="Event Service"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicense

键值: 字串: "ErrorControl"="1"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicenseParameters

键值: 字串: "ServiceDll"="C:WINDOWSsystem32jyxkc.dll"

HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesmsqmx

键值: 字串: "ImagePath"="C:WINDOWSsystem32driversmsqmx.sys"

3、连接网络，在系统根目录下新建文件夹TDdownload，并下载病毒文件到此文件夹中：

下载地址：http://file2.unionsms.net/kuzhan/kuzhansetup.exe

IP：58.211.7.36:80

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%f2.exe

%system32%advport.dll

%system32%idirk.dll

%system32%jyxkc.dll

%system32%

undllfromwin2000.exe

%system32%score.txt

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRun

键值: 字串: "System"="C:Program FilesCommon Files

SystemUpdaterun.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_DATEING000Control

键值: 字串: "ActiveService"="DATEING"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_DATEING000

键值: 字串: "DeviceDesc"="Network IPSEC Connections"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_DATEING000

键值: 字串: "Legacy"="1"

HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRoot

LEGACY_DATEING000

键值: 字串: "Service"="DATEING"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesDATEING

键值: 字串: "Description"="提供安全的网络和拨号连接服务

，记录局域网和远程连接通讯的目标机器信息。"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesDATEING

键值: 字串: "DisplayName"="Network IPSEC Connections"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesDATEINGEnum

键值: 字串: "0"="RootLEGACY_DATEING000"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicense

键值: 字串: "Description"="启用 Windows 的系统监视器，

保护 Windows 的程序正常运行。无法终止此服务。"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicense

键值: 字串: "DisplayName"="Event Service"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicense

键值: 字串: "ErrorControl"="1"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesLicenseParameters

键值: 字串: "ServiceDll"="C:WINDOWSsystem32jyxkc.dll"

HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesmsqmx

键值: 字串: "ImagePath"="C:WINDOWSsystem32driversmsqmx.sys"