Trojan-Downloader.Win32.Agent.qpv.gif

病毒标签：

病毒描述：

行为分析：

病毒标签：

病毒名称： Trojan-Downloader.Win32.Agent.qpv.gif

病毒类型： 木马下载器

文件 MD5： 0BCB2187B2E0EDCF88EC0CACFFF15E05

公开范围： 完全公开

危害等级： 4

文件长度： 9,728 字节

感染系统： Windows98以上版本

开发工具： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo

病毒描述：

该病毒为下载者木马类，病毒运行后调用CreateMutexA函数创建互病毒斥量：

__DL_CORE4GA_MUTEX__，目的防止多次运行，调用API获取系统文件夹路径，衍生病毒

文件到%Windir%\\AppPatch目录下，重命名为Jview.dll与AcXtrnel.dll，并添加注册

表启动项，创建rundll32.exe使该进程加载病毒DLL文件，连接网络下载大量恶意病毒

文件到本地执行，经分析下载的大量病毒为盗号木马类，给用户清理造成及大的不便。

行为分析：

本地行为：

1、文件运行后会释放以下文件：

%Windir%\\AppPatch\\Jview.dll 13,824 字节

%Windir%\\AppPatch \\AcXtrnel.dll 9,216 字节

2、添加注册表病毒启动项：

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID

\\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}

\\InprocServer32]

新建键值: "@"

类型： REG_SZ

字符串： “C:\\WINDOWS\\AppPatch\\Jview.dll”

描述: 添加注册表项，以达到随机启动的目的

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID

\\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}

\\InprocServer32]

新建键值: "ThreadingModel"

类型： REG_SZ

字符串： “Apartment”

描述: 注册CLSID值

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft

\\Windows\\CurrentVersion\\ShellServiceObjectDelayLoad]

新建键值: "JavaView"

类型： REG_SZ

字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”

3、创建rundll32.exe使该进程加载病毒DLL文件。

4、连接网络读取列表下载大量恶意病毒文件到本地执行。

网络行为:

协议：TCP

端口：53

连接服务器名：http://ad.updat****.us/ads.jpg

IP地址：125.83.89.**

描述：连接服务器读取TXT列表内容下载病毒，读取的列表内容：

http://125.83.89.**:53/10.gif

http://125.83.89.**:53/11.gif

http://125.83.89.**:53/12.gif

http://125.83.89.**:53/13.gif

http://125.83.89.**:53/14.gif

http://125.83.89.**:53/15.gif

http://125.83.89.**:53/16.gif

http://125.83.89.**:53/17.gif

http://125.83.89.**:53/18.gif

http://125.83.89.**:53/19.gif

http://125.83.89.**:53/2.gif

http://125.83.89.**:53/20.gif

http://125.83.89.**:53/3.gif

http://125.83.89.**:53/4.gif

http://125.83.89.**:53/5.gif

http://125.83.89.**:53/6.gif

http://125.83.89.**:53/7.gif

http://125.83.89.**:53/8.gif

http://125.83.89.**:53/9.gif

http://abc.updat****.cn/21.gif

http://abc.updat****.cn/22.gif

http://abc.updat****.cn/23.gif

http://abc.updat****.cn/24.gif

http://abc.updat****.cn/25.gif

http://abc.updat****.cn/26.gif

http://abc.updat****.cn/27.gif

http://abc.updat****.cn/28.gif

http://abc.updat****.cn/29.gif

http://abc.updat****.cn/30.gif

http://abc.updat****.cn/31.gif

http://abc.updat****.cn/32.gif

http://abc.updat****.cn/33.gif

http://abc.updat****.cn/34.gif

http://abc.updat****.cn/35.gif

注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的

位置。

%Windir% WINDODWS所在目录

%DriveLetter%　逻辑驱动器根目录

%ProgramFiles%　系统程序默认安装目录

%HomeDrive% 当前启动的系统的所在分区

%Documents and Settings% 当前用户文档根目录

%Temp% \\Documents and Settings

\\当前用户\\Local Settings\\Temp

%System32% 系统的 System32文件夹

Windows2000/NT中默认的安装路径是C:\\Winnt\\System32

windows95/98/me中默认的安装路径是C:\\Windows\\System

windowsXP中默认的安装路径是C:\\Windows\\System32