Trojan-Downloader.win32.IEheap.Gen
该病毒属木马类,病毒运行后衍生病毒文件到系统目录下,修改注册表,添加启动项,以达到随开机启动的目的,连接网络,在系统根目录下新建文件夹TDdownload,并下载病毒文件到此文件夹中。
病毒名称: Trojan-Downloader.win32.IEheap.Gen
病毒类型: 木马
文件 MD5: 649153D5E4AE4C5172A7B121B74E224F
公开范围: 完全公开
危害等级: 2
文件长度: 20,480 字节
感染系统: windows98以上系统
开发工具: Microsoft Visual C++ 6.0
加壳类型: 无
命名对照: 驱逐舰[无]
BitDefender [无]
行为分析:
1、病毒运行后衍生病毒文件到系统目录下:
%WINDIR%\\f2.exe
%system32%\\advport.dll
%system32%\\idirk.dll
%system32%\\jyxkc.dll
%system32%\\rundllfromwin2000.exe
%system32%\\score.txt
2、修改注册表,添加启动项,以达到随开机启动的目的:
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows
\\CurrentVersion\\Run\\
键值: 字串: "System"="C:\\Program Files\\Common Files\\System\\Updaterun.exe"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\
LEGACY_DATEING\\0000\\Control\\
键值: 字串: "ActiveService"="DATEING"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_DATEING\\0000\\
键值: 字串: "DeviceDesc"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_DATEING\\0000\\
键值: 字串: "Legacy"="1"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_DATEING\\0000\\
键值: 字串: "Service"="DATEING"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\
键值: 字串: "Description"="提供安全的网络和拨号连接服务,
记录局域网和远程连接通讯的目标机器信息。"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\
键值: 字串: "DisplayName"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\Enum\\
键值: 字串: "0"="Root\\LEGACY_DATEING\\0000"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\
键值: 字串: "Description"="启用 Windows 的系统监视器,
保护 Windows 的程序正常运行。无法终止此服务。"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\
键值: 字串: "DisplayName"="Event Service"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\
键值: 字串: "ErrorControl"="1"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\Parameters\\
键值: 字串: "ServiceDll"="C:\\WINDOWS\\system32\\jyxkc.dll"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\msqmx\\
键值: 字串: "ImagePath"="C:\\WINDOWS\\system32\\drivers\\msqmx.sys"
3、连接网络,在系统根目录下新建文件夹TDdownload,并下载病毒文件到此文件夹中:
下载地址:http://file2.unionsms.net/kuzhan/kuzhansetup.exe
IP:58.211.7.36:80
注:% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32,windows95/98/me中默认的安装路径是C:\\Windows\\System,windowsXP中默认的安装路径是C:\\Windows\\System32。
--------------------------------------------------------------------------------
清除方案:
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDIR%\\f2.exe
%system32%\\advport.dll
%system32%\\idirk.dll
%system32%\\jyxkc.dll
%system32%\\rundllfromwin2000.exe
%system32%\\score.txt
(3) 恢复病毒修改的注册表项目,删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows
\\CurrentVersion\\Run\\
键值: 字串: "System"="C:\\Program Files\\Common Files
\\System\\Updaterun.exe"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root
\\LEGACY_DATEING\\0000\\Control\\
键值: 字串: "ActiveService"="DATEING"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root
\\LEGACY_DATEING\\0000\\
键值: 字串: "DeviceDesc"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root
\\LEGACY_DATEING\\0000\\
键值: 字串: "Legacy"="1"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root
\\LEGACY_DATEING\\0000\\
键值: 字串: "Service"="DATEING"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\
键值: 字串: "Description"="提供安全的网络和拨号连接服务
,记录局域网和远程连接通讯的目标机器信息。"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\
键值: 字串: "DisplayName"="Network IPSEC Connections"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\Enum\\
键值: 字串: "0"="Root\\LEGACY_DATEING\\0000"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\
键值: 字串: "Description"="启用 Windows 的系统监视器,
保护 Windows 的程序正常运行。无法终止此服务。"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\
键值: 字串: "DisplayName"="Event Service"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\
键值: 字串: "ErrorControl"="1"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\Parameters\\
键值: 字串: "ServiceDll"="C:\\WINDOWS\\system32\\jyxkc.dll"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\msqmx\\
键值: 字串: "ImagePath"="C:\\WINDOWS\\system32\\drivers\\msqmx.sys"