病毒名称(中文):
病毒别名:
Trojan-Downloader.Win32.Zdesnado.y[AVP]
威胁级别:
★★☆☆☆
病毒类型:
木马程序
病毒长度:
32260
影响系统:
Win9xWinNT
病毒行为:
这是一个木马下载器，用于下载并执行木马。它是通过读取两个网页配置文件去下载并运行木马的。比一般的木马下载器更加灵活，危害也更大。通过设置4个时钟，它会每隔一定时间做以下操作：定时修改启动项，是自己能够开机运行，并且到指定网址取得配置文件用来下载新的病毒；定时终止某些进程，可以是反病毒软件防火墙；定时修改host文件，使得很多反病毒软件不能正常升级；定时修改用户的主页指向某个网页，使得用户打开浏览器时首先访问病毒设置的网页，从而感染病毒。
1.创建互斥体kakogo_cherta_tebe_zdes_nado，防止运行病毒的多个实例。
2.将自身复制到%System%\Software\software.exe，修改文件%System%\drivers\etc\hosts，在该文件后面追加一下内容：
127.0.0.1www.iframedollars.biz
127.0.0.1iframedollars.biz
127.0.0.1www.allforadult.com
127.0.0.1allforadult.com
127.0.0.1www.vesbiz.biz
127.0.0.1vesbiz.biz
127.0.0.1www.aaasexypics.com
127.0.0.1aaasexypics.com
127.0.0.1www.virgin-tgp.net
127.0.0.1virgin-tgp.net
127.0.0.1www.5sec.biz
127.0.0.15sec.biz
127.0.0.1www.avp.com
127.0.0.1www.viruslist.com
127.0.0.1viruslist.com
127.0.0.1www.symantec.com
127.0.0.1networkassociates.com
127.0.0.1secure.nai.com
127.0.0.1downloads1.kaspersky-labs.com
127.0.0.1downloads2.kaspersky-labs.com
127.0.0.1downloads3.kaspersky-labs.com
127.0.0.1downloads4.kaspersky-labs.com
127.0.0.1downloads-us1.kaspersky-labs.com
127.0.0.1downloads-eu1.kaspersky-labs.com
127.0.0.1kaspersky-labs.com
127.0.0.1www.networkassociates.com
127.0.0.1us.mcafee.com
127.0.0.1f-secure.com
127.0.0.1avp.com
127.0.0.1www.sophos.com
127.0.0.1sophos.com
127.0.0.1www.ca.com
127.0.0.1ca.com
127.0.0.1securityresponse.symantec.com
127.0.0.1symantec.com
127.0.0.1mast.mcafee.com
127.0.0.1my-etrust.com
127.0.0.1www.kaspersky.com
127.0.0.1www.f-secure.com
127.0.0.1dispatch.mcafee.com
127.0.0.1update.symantec.com
127.0.0.1nai.com
127.0.0.1www.nai.com
127.0.0.1liveupdate.symantec.com
127.0.0.1customer.symantec.com
127.0.0.1rads.mcafee.com
127.0.0.1trendmicro.com
127.0.0.1liveupdate.symantecliveupdate.com
127.0.0.1www.mcafee.com
127.0.0.1mcafee.com
127.0.0.1viruslist.com
127.0.0.1www.my-etrust.com
127.0.0.1download.mcafee.com
127.0.0.1updates.symantec.com
127.0.0.1kaspersky.com
127.0.0.1www.trendmicro.com
127.0.0.1conyc.com
下载网页文件到：%system%\ysb.exe
创建目录%SystemRoot%\test
2.修改注册表：
添加表项：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Software"="%System%\Software\software.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main
"StartPage"="<变化的值>"
"FlagStop"=dword:1
或者
"FlagInstall"=dword:1
修改表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\2
"1001"=dword:47
"Flags"=dword:0
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\2
"1001"=dword:47
"Flags"=dword:0
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3
"1001"=dword:0
"Flags"=dword:1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3
"1001"=dword:0
"Flags"=dword:1
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\InternetSettings"TrustWarningLevel"="NoSecurity"
"SafetyWarningLevel"="SucceedSilent"
"CodeDownload"="Yes"
"Security_RunActiveXControls"
"Security_RunScripts"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings"TrustWarningLevel"="NoSecurity"
"SafetyWarningLevel"="SucceedSilent"
"CodeDownload"="Yes"
"Security_RunActiveXControls"
"Security_RunScripts"
HKEY_USERS\.Default\Software\Microsoft\InternetExplorer\Security
"TrustWarningLevel"="NoSecurity"
"SafetyWarningLevel"="SucceedSilent"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\ZoneMap\ProtocolDefaults
"http"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\ZoneMap\Domains
"Trusted"
"CurrentLevel"
"RecommendedLevel"
"MinLevel"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\InternetSettings\ZoneMap\Domains
"Trusted"
"CurrentLevel"
"RecommendedLevel"
"MinLevel"
3.通过设置4个时钟，它会每隔一定时间做以下操作：定时修改启动项，是自己能够开机运行，并且到指定网址取得配置文件用来下载新的病毒；定时终止某些进程，可以是反病毒软件防火墙；定时修改host文件，使得很多反病毒软件不能正常升级；定时修改用户的主页指向某个网页，使得用户打开浏览器时首先访问病毒设置的网页，从而感染病毒。
终止的进程：
ir.exe
intron.exe
printer32.exe
ykyrtws.exe
loadclean.exe
telnet.exe
lpt.exe
systime.exe
toolbar.exe
mstasks1.exe
mstasks2.exe
mstasks3.exe
loadadv.exe