资深黑客带您全面解剖“木马下载者”(3)

作者: 子明 出处:51CTO.com　2008-03-11 15:55　   砖    好    评论  条 　进入论坛

阅读提示：特洛伊木马(Trojan)病毒，是指隐藏在正常程序中的一段具有特殊功能的恶意代码，具备破坏和删除文件，发送密码，记录键盘和攻击等功能，会使用户系统被破坏甚至瘫痪。恶意的木马程序也具有计算机病毒的特征。

2.Trojan-Downloader.Win32.Small.j分析
病毒名称： Trojan-Downloader.Win32.Small.j
病毒类型： 木马
文件 MD5： 8C72F090F960618F6C0E4456AE09A0B7
公开范围： 完全公开
危害等级： 中
文件长度： 8,704 字节
感染系统： windows 98 及以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： UPX

病毒描述：
该病毒属木马下载类，病毒主要通过发送含有病毒附件的邮件来传播，该病毒邮件利用社会工程学的技巧来诱骗用户运行附件，其中发件地址是伪造的，病毒邮件主题，邮件信息主体都具有迷惑性，邮件内容主要是建议用户安装附件中名为“winxp_sp1.exe”的病毒文件，带病毒运行后，便会尝试连接网络，下载病毒相关文件到本地运行，该病毒对用户有一定的危害。

行为分析：
（1）病毒邮件地址为： windowsupdate@microsoft.com
　病毒邮件标题为： Windows XP Service Pack 1 (Express) - Critical Update.
　病毒邮件主体信息为：
Window Update has determined that you are running a beta version of Windows XP Service Pack 1 (SP1). To help improve the stability of your computer, Microsoft recommends that you remove the beta version of Windows XP SP1 and re-install Windows XP SP1. If you cannot remove the beta version, you should still reinstall Windows XP SP1.
......
病毒邮件的附件为：winxp_sp1.exe

（2）病毒运行后会尝试连接网络，下在病毒相关文件到本地运行：
http://home***net/mjidp/test/autoupd.exe

（3）复制原病毒副本到：%system%msvchost.exe

清除方案：
(1) 使用icesword“进程管理”或其他方法关闭病毒进程：msvchost.exe
(2) 删除病毒文件：%system%msvchost.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

3.Trojan-Downloader.Win32.Slime.e分析
病毒名称： Trojan-Downloader.Win32.Slime.e
病毒类型： 木马
文件 MD5： 8B090CD5EF4B747ABBC88D6B52C40698
公开范围： 完全公开
危害等级： 中
文件长度： 216,593 字节
感染系统： windows 98及以上版本
开发工具： vc
加壳类型： ASProtect

病毒描述：
该病毒属木马类，主要以窃取用户一些敏感信息为主。病毒运行后会复制自身到%system%ipreg.exe，并释放病毒相关文件%system%spdr.dll，而后病毒修改注册表文件，添加启动项，达到随系统启动的目的。病毒运行后尝试窃取某些信息，该病毒对用户有一定的危害。

行为分析：
（1）病毒运行时会弹出一个对话框，假借一个软件的安装程序，骗取用户点击。
（2）病毒运行后会复制自身到：%system%rundll.exe
（3）修改注册表文件，更改exe文件关联
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\
旧值：字串： ""%1" %*""
新值：字串： "C:\WINNT\System32\Rundll.exe "%1" %*"
（4）尝试连接到http://chtao.***.south**.net/wg/mir2.exe，下载病毒相关文件到本地运行。

清除方案：
(1) 删除病毒释放的文件 %system%rundll.exe
(2)恢复病毒修改的注册表项目，修改注册表项： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\
病毒的键值："C:\WINNT\System32\Rundll.exe "%1" %*"
新值："%1" %*

共7页: 上一页 [1] [2] 3 [4] [5] [6] [7] 下一页

【内容导航】  第 1 页：什么是Trojan-Downloader木马？  第 2 页：Trojan-Downloader木马分析（1）  第 3 页：Trojan-Downloader木马分析（2）  第 4 页：Trojan-Downloader木马分析（3）  第 5 页：Trojan-Downloader木马分析（4）  第 6 页：如何防范Trojan-Download类木马病毒  第 7 页：当今病毒技术的发展