行为分析 蝗虫军团 Backdoor.Win32.Agent.rnq

病毒名称：BitDefender：Trojan.PWS.OnlineGames.ZMC
            Kaspersky：Backdoor.Win32.Agent.rnq
            NOD32v2：a variant of Win32/PSW.OnLineGames.NRF
            Rising：Trojan.Win32.VB.fza
VT扫描时间：09.29.2008 19:37:31 (CET)
EQS Lab编号：080930106
EQS Lab地址： [url]http://hi.baidu.com/eqsyssecurity[/url]
病毒大小：14.4 KB (14,813 字节)
MD5码：E8D3C4BB6ED3069731EA43EDC611ED0D
病毒类型： 特洛伊木马
主要传播方式： 网络
测试平台： WinXP SP3系统 (默认Shell为BBlean)    EQSecurity（HIPS） 实机
危害程度：★★★☆☆

病毒行为：

运行后创建启动项

2008-09-30 20:18:35 创建注册表值   
进程路径:F:\Once\12\12.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
注册表名称:PendingFileRenameOperations
触发规则:所有程序规则->自动运行->*\SYSTEM\ControlSet*\Control\Session Manager

2008-09-30 20:18:35 创建注册表值   
进程路径:F:\Once\12\12.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
注册表名称:AppInit_DLLs
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

2008-09-30 20:18:53 删除注册表   
进程路径:F:\Once\12\12.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:HBService
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

释放SYS

2008-09-30 20:18:53 创建文件   
进程路径:F:\Once\12\12.exe
文件路径:C:\windows\system32\drivers\HBKernel32.sys
触发规则:所有程序规则->文件阻止及保护->?:\*.sys

SCM 安装驱动

2008-09-30 20:20:09 访问服务管理器   
进程路径:F:\Once\12\12.exe
触发规则:所有程序规则->*

2008-09-30 20:20:13 安装服务或者驱动   
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\windows\system32\drivers\HBKernel32.sys
触发规则:所有程序规则->阻止运行->%windir%\*

释放DLL

2008-09-30 20:18:53 创建文件   
进程路径:F:\Once\12\12.exe
文件路径:C:\windows\system32\HBCONQUER.dll
触发规则:所有程序规则->文件阻止及保护->?:\*.dll

2008-09-30 20:18:53 创建文件   
进程路径:F:\Once\12\12.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\HBCONQUER.dll
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.dll

2008-09-30 20:18:54 创建文件   
进程路径:F:\Once\12\12.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\HBSelfDel.dll
触发规则:所有程序规则->Documents and Settings->?:\Documents and Settings\*.dll

释放exe

2008-09-30 20:18:53 创建文件   
进程路径:F:\Once\12\12.exe
文件路径:C:\windows\system32\System.exe
触发规则:所有程序规则->文件阻止及保护->?:\*.exe

调用rundll32

2008-09-30 20:19:41 运行应用程序   
进程路径:F:\Once\12\12.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\HBSelfDel.dll,MagicDelete F:\Once\12\12.exe
触发规则:所有程序规则->阻止运行->%windir%\*

rundll32加载病毒dll

2008-09-30 20:21:37 加载库文件   
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\HBSelfDel.dll
触发规则:所有程序规则->阻止运行->?:\Documents and Settings\*\Local Settings\Temp\*

调用exe

2008-09-30 20:21:08 运行应用程序   
进程路径:F:\Once\12\12.exe
文件路径:C:\WINDOWS\system32\System.exe
触发规则:所有程序规则->阻止运行->%windir%\*

安装钩子

2008-09-30 20:21:49 安装全局钩子   
进程路径:C:\WINDOWS\system32\System.exe
文件路径:HBmhly.dll,HB1000Y.dll,HBWOOOL.dll,HBXY2.dll,HBJXSJ.dll,HBSO2.dll,HBFS2.dll,HBXY3.dll,HBSHQ.dll,HBFY.dll,HBWULIN2.dll,HBW2I.dll,HBKDXY.dll,HBWORLD2.dll,HBASKTAO.dll,HBZHUXIAN.dll,HBWOW.dll,HBZERO.dll,HBBO.dll,HBCONQUER.dll,HBSOUL.dll,HBCHIBI.dll,HBDNF.dll,HBWARLORDS.dll,HBTL.dll,HBPICKCHINA.dll,HBCT.dll,HBGC.dll,HBHM.dll,HBHX2.dll,HBQQHX.dll,HBTW2.dll,HBQQSG.dll,HBQQFFO.dll,HBZT.dll,HBMIR2.dll,HBRXJH.dll,HBYY.dll,HBMXD.dll,HBSQ.dll,HBTJ.dll,HBFHZL.dll,HBWLQX.dll,HBLYFX.dll,HBR2.dll,HBCHD.dll,HBTZ.dll,HBQQXX.dll,HBWD.dll,HBZG.dll,HBPPBL.dll,HBXMJ.dll,HBJTLQ.dll,HBQJSJ.dll
钩子类型:WH_JOURNALRECORD
触发规则:所有程序规则->*

2008-09-30 20:21:57 安装全局钩子   
进程路径:C:\WINDOWS\system32\System.exe
文件路径:C:\windows\system32\HBCONQUER.dll
钩子类型:WH_MOUSE
触发规则:所有程序规则->阻止运行->%windir%\*

联网行为：




关键行为：

向系统目录创建exe   dll   sys

SCM 安装驱动

安装钩子



HIPS防范对策：


阻止陌生程序向系统目录创建exe   dll   sys

阻止陌生程序SCM 安装驱动

阻止陌生程序安装钩子

阻止陌生程序创建启动项

样本下载： [url]http://bbs.janmeng.com/thread-803707-1-1.html[/url]