Trojan-Dropper.Win32.Small.axw分析报告

一、    病毒标签：

病毒名称： Trojan-Dropper.Win32.Small.axw
病毒类型： 木马类
文件 MD5： 886E5C57E86C8EB35550ECA882CE9D05
公开范围： 完全公开
危害等级： 3
文件长度： 160,606 字节
感染系统： windows 98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： 无

二、 病毒描述：

该病毒为木马类，病毒运行后复制自身到系统目录，衍生病毒文件，并删除自身。 创建服务，并以服务的方式达到随机启动的目的。查找EXPLORER.EXE和其它相关进程信息；设置远程线程来执行病毒文件,在执行时将病毒文件插入到EXPLORER.EXE进程中。主动连接网络，下载相关病毒文件信息。

三、 行为分析：

1、病毒运行后，复制自身到系统目录下，衍生病毒文件，并删除自身：
%Temp%\3.exe
%Temp%\csrss.exe
%Temp%\Intel86.dll
%Temp%\langke.exe
%Temp%\OPEB.tmp
%System32%\5C069782.DLL
%System32%\6DB0C366.EXE
%System32%\Banana.Dll
%System32%\mosou.exe
%System32%\msdebug.dll
%System32%\nwizqjsj.dll 中国网管论坛bbs.bitsCN.com
%System32%\nwizqjsj.exe

2、修改注册表的弹出错误报告默认值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DoReport
新: DWORD: 1 (0x1)
旧: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\ShowUI
新: DWORD: 1 (0x1)
旧: DWORD: 0 (0)

3、创建服务，并以服务的方式达到随机启动的目的：
服务名称： A3AED9C4
显示名称： A3AED9C4
描述：5C069782
可执行文件的路径：%System32%\6DB0C366.EXE -g
启动方式：自动

服务名称： MSDebugsvc
显示名称： Win32 Debug Service
描述：为计算机系统提供32位调试服务。如果此服务被禁用，所有明确依赖它的服务都将不能启动。
可执行文件的路径：%System32%\rundll32.exe msdebug.dll,input.
启动方式：自动

4、设置远程线程来执行nwizqjsj.dll、Intel86.dll、5C069782.DLL,在执行时插入到EXPLORER.EXE进程中。

5、主动连接网络，下载相关病毒文件信息:
地址:端口如下：
                 211.95.73.27：80
                 60.191.129.146：80
58.211.7.25：80
211.160.17.195：80
…
6、该病毒通过恶意网站、其它病毒/木马下载传播，可以盗取用户敏感信息。


注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
    %Windir%\              WINDODWS所在目录
%DriveLetter%\            逻辑驱动器根目录
%ProgramFiles%\            系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\    当前用户文档根目录

四、 清除方案：
    1、使用安天木马防线可彻底清除此病毒(推荐)。 网管网www_bitscn_com
    2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
        (1) 使用安天木马防线“进程管理”关闭病毒进程
        (2) 删除病毒文件
%Temp%\3.exe
%Temp%\csrss.exe
%Temp%\Intel86.dll
%Temp%\langke.exe
%Temp%\OPEB.tmp
%System32%\5C069782.DLL
%System32%\6DB0C366.EXE
%System32%\Banana.Dll
%System32%\mosou.exe
%System32%\msdebug.dll
%System32%\nwizqjsj.dll
%System32%\nwizqjsj.exe
        (3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\DoReport
新: DWORD: 1 (0x1)
旧: DWORD: 0 (0)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting\ShowUI
新: DWORD: 1 (0x1)
旧: DWORD: 0 (0)
(4) 禁用服务A3AED9C4和MSDebugsvc