Win32.TrojDownloader.Agent.bl.139378

病毒名称(中文):

劫持者下载器139378

病毒别名:

威胁级别:

★★☆☆☆

病毒类型:

木马下载器

病毒长度:

139378

影响系统:

Win9xWinMeWinNTWin2000WinXPWin2003

病毒行为:

该病毒为一个木马下载器。病毒运行后复制自身到系统目录，修改注册表、添加启动项，以达到随机启动的目的。它会破坏杀毒软件和安全辅助工具的正常运行，还会使中毒用户无法进入安全模式下查杀病毒。病毒发作后期，它会下载其它木马，盗取用户电脑上的敏感资料。

1.生成文件

c:\ProgramFiles\meex.exe

c:\ProgramFiles\CommonFile\System\.exe

c:\ProgramFiles\CommonFiles\MicrosoftShared\.exe

2.修改注册表，添加启动项，以达到随机启动的目的

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Default="C:\ProgramFiles\CommonFiles\System\.exe"

3.删除注册表安全模式的有关信息，当开机时不能启动安全模式

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

Defualt="DiskDrive"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}

Defualt="DiskDrive"

4.改变注册表值使隐藏文件不可见，达到病毒体隐藏目的

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

CheckedValue=dword:00000000

5.禁用此计算机上的帮助与支持中心服务：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\helpsvc

Start=dword:00000004

6.禁用网络地址转换、寻址、名称解析、和入侵保护服务：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess

Start=dword:00000004

7.禁用监视系统安全设置和配置服务：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc

Start=dword:00000004

8.禁用下载和安装Windows更新服务：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv

Start=dword:00000004

9.映像劫持

通过在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions下添加注册表项来进行文件映像劫持，可阻止大量安全软件及系统治理软件运行，并执行病毒体。

被劫持的软件包括：

360rpt.exe;

360Safe.exe;

360tray.exe;

adam.exe;

AgentSvr.exe;

AppSvc32.exe;

autoruns.exe;

avgrssvc.exe;

AvMonitor.exe;

avp.com;

avp.exe;

CCenter.exe;

ccSvcHst.exe;

FileDsty.exe;

FTCleanerShell.exe;

HijackThis.exe;

IceSword.exe;

iparmo.exe;

Iparmor.exe;

isPwdSvc.exe;

kabaload.exe;

KaScrScn.SCR;

KASMain.exe;

KASTask.exe;

KAV32.exe;

KAVDX.exe;

KAVPFW.exe;

KAVSetup.exe;

KAVStart.exe;

KISLnchr.exe;

KMailMon.exe;

KMFilter.exe;

KPFW32.exe;

KPFW32X.exe;

KPFWSvc.exe;

KRegEx.exe;

KRepair.COM;

KsLoader.exe;

KVCenter.kxp;

KvDetect.exe;

KvfwMcl.exe;

KVMonXP.kxp;

KVMonXP_1.kxp;

kvol.exe;

kvolself.exe;

KvReport.kxp;

KVScan.kxp;

KVSrvXP.exe;

KVStub.kxp;

kvupload.exe;

kvwsc.exe;

KvXP.kxp;

KvXP_1.kxp;

KWatch.exe;

KWatch9x.exe;

KWatchX.exe;

loaddll.exe;

MagicSet.exe;

mcconsol.exe;

mmqczj.exe;

mmsk.exe;

NAVSetup.exe;

nod32krn.exe;

nod32kui.exe;

PFW.exe;

PFWLiveUpdate.exe;

QHSET.exe;

Ras.exe;

Rav.exe;

RavMon.exe;

RavMonD.exe;

RavStub.exe;

RavTask.exe;

RegClean.exe;

rfwcfg.exe;

RfwMain.exe;

rfwProxy.exe;

rfwsrv.exe;

RsAgent.exe;

Rsaupd.exe;

runiep.exe;

safelive.exe;

scan32.exe;

shcfg32.exe;

SmartUp.exe;

SREng.exe;

symlcsvc.exe;

SysSafe.exe;

TrojanDetector.exe;

Trojanwall.exe;

TrojDie.kxp;

UIHost.exe;

UmxAgent.exe;

UmxAttachment.exe;

UmxCfg.exe;

UmxFwHlp.exe;

UmxPol.exe;

UpLive.EXE.exe;

WoptiClean.exe;

zxsweep.exe;

10.该病毒在各个驱动器下创建.exe前，首先判定驱动器的根目录下是否存在.exe文件或文件夹，假如存在则先尝试删除，

然后创建autorun.inf文件和对应可执行病毒文件。

11.从以下网址下载其他病毒文件至客户机器.

http://www.*****.com/Rettwn.txt

http://www.wt*****.com/TDown1.exe