对 Trojan.DL.Win32.Mnless.yxx / alg.exe 的一点分析

对 Trojan.DL.Win32.Mnless.yxx / alg.exe 的一点分析

endurer 原创
2008-02-21 第1

就是

Worm.Win32.Diskgen.gen/磁碟机也捎带广告?
http://blog.csdn.net/Purpleendurer/archive/2008/02/20/2110363.aspx

中的捕获的一个病毒文件。

文件说明符 : C:/WINDOWS/system32/drivers/alg.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-18 16:17:10
修改时间 : 2008-2-18 16:17:12
访问时间 : 2008-2-18 0:0:0
大小 : 18829 字节 18.397 KB
MD5 : e6b26c23fda20664844d870a662190da
SHA1: 30930C99E99E108AC8B06D19DB9D2056A552DD82
CRC32: ad1b25ac

Kaspersky 报为 Trojan-Downloader.Win32.Agent.iqj,瑞星报为 Trojan.DL.Win32.Mnless.yxx

alg.exe运行后会:

1.执行命令:
ping.exe www.baidu.com
arp.exe -s (将IP与MAC绑定)
arp.exe -d (清空ARP缓存)

2.加入代码:
/---
<script src=hxxp://y**.g***xg*xy.net/1.js></script>
---/
hxxp://y**.g***xg*xy.net/1.js为一个 包含“百万Q币大放送”等虚假信息的网页


3.下载、运行 hxxp://y**.g***xg*xy.net/setup.exe

文件说明符 : D:/test/setup.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-18 21:41:59
修改时间 : 2008-2-18 21:42:0
访问时间 : 2008-2-18 22:18:54
大小 : 144381 字节 140.1021 KB
MD5 : 8e23a5a2b949cb6c2c2b4037684219d1

Kaspersky 报为 Virus.Win32.Xorer.dr,其实为一个自解压程序:

;下面的注释包含自释放脚本命令
Setup=Setup.exe
TempMode
Silent=1
Overwrite=1

文件说明符 : D:/test/setup/Setup.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-18 21:44:15
修改时间 : 2008-2-16 12:49:2
访问时间 : 2008-2-18 22:19:13
大小 : 95744 字节 93.512 KB
MD5 : 13949cf3910b0d255439136ec1b6cd78
SHA1: 4D873D332FEDDEF66B90940CA18418FE91833EA7
CRC32: 652ce9ac

Setup.exe运行后

1、释放驱动: NetApi000.sys、文件:00302.log、cfg.dll、C:/WINDOWS/system32/Com/netcfg.000、C:/WINDOWS/system32/Com/netcfg.dll
C:/WINDOWS/system32/Com/SMSS.EXE等文件
并用命令regsvr32.exe /s 注册其中的DLL文件

2、会将自己复制到:
1)C:/WINDOWS/system32/Com,文件名:lsass.exe
2)C:/Documents and Settings/All Users/「开始」菜单/程序/启动 文件夹中,文件名格式为 ~.exe.*******.exe(其中*为数字)
3)各硬盘分区。文件名为pagefile.pif,相应的autorun.inf文件也会被创建

3、扫描、修改注册表项,如:
安全启动项:
SYSTEM/CurrentControlSet/Control/SafeBoot/Network/{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM/ControlSet001/Control/SafeBoot/Network/{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM/CurrentControlSet/Control/SafeBoot/Minimal/{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM/ControlSet001/Control/SafeBoot/Minimal/{4D36E967-E325-11CE-BFC1-08002BE10318}

系统安全防护软件的服务项:
SYSTEM/CurrentControlSet/Services/EQService
SYSTEM/CurrentControlSet/Services/HookSys
SYSTEM/CurrentControlSet/Services/McShield
SYSTEM/CurrentControlSet/Services/tmmbd
SYSTEM/CurrentControlSet/Services/PAVSRV
SYSTEM/CurrentControlSet/Services/SymEvent
SYSTEM/CurrentControlSet/Services/ekrn
SYSTEM/CurrentControlSet/Services/KAVBase
SYSTEM/CurrentControlSet/Services/klif
SYSTEM/CurrentControlSet/Services/AntiVirService
SYSTEM/CurrentControlSet/Services/MPSVCService

4、狙击常见安全软件。如:avast、itdefender、ewido、微点、费尔、eset、avg、dr.web等

你可能感兴趣的:(对 Trojan.DL.Win32.Mnless.yxx / alg.exe 的一点分析)