科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道木马下载器Trojan-Downloader.Win32.Golden.cfh

木马下载器Trojan-Downloader.Win32.Golden.cfh

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

该程序是使用VC编写的下载程序,由微点主动防御软件自动捕获,采用ASPack加壳方式试图躲避特征码扫描,加壳后长度23,040字节,图标为Windows默认可执行文件图标,病毒扩展名为exe,主要通过网页木马、文件捆绑方式传播。

作者:zdnet安全频道 来源:论坛整理 2008年6月23日

关键字: 下载器 木马

  • 评论
  • 分享微博
  • 分享邮件

木马下载器Trojan-Downloader.Win32.Golden.cfh
该程序是使用VC编写的下载程序,由微点主动防御软件自动捕获,采用ASPack加壳方式试图躲避特征码扫描,加壳后长度23,040字节,图标为Windows默认可执行文件图标,病毒扩展名为exe,主要通过网页木马、文件捆绑方式传播。

病毒分析

    该木马程序被执行后,创建名为{8695CF39-6A3C-4e5d-BF9C-1D8239BAE977}的互斥体,防止系统中有多个病毒进程在运行;通过API函数ControlService、ChangeServiceConfigA、DeleteService删除部分服务;遍历进程查找部分安全软件进程将其关闭;修改系统时间,使部分杀毒软件不能正常使用;将自身拷贝到%systemroot%\system32目录下,重命名为BoboTurbo.exe,修改文件属性为只读、隐藏、系统;通过API函数ShellExecuteA运行病毒拷贝BoboTurbo.exe。
BoboTurbo.exe运行后,在目录%ProgramFiles%\Internet Explorer\Connection Wizard\下释放动态库Messenger.dll;以%ProgramFiles%\Internet Explorer\iexplore.exe –nohome作为参数通过API函数ShellExecuteA启动IEXPLORE.EXE进程,申请内存空间将Messenger.dll写入,通过远程线程创建激活病毒代码进行代码注入下载其它病毒程序到本地并运行;通过批处理将病毒原文件删除。

技术细节

病毒修改注册表项


  Quote:
项:HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\
键值:1
指向文件:%systemroot%\system32\BoboTurbo.exe

项:HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\
键值:checkedvalue
指向变量:00

项:HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\
键值:checkedvalue
指向变量:01

被删除的服务

  Quote:
FireSvc
nod32krn
KVSrvXP
McShield
KPfwSvc
Sharedaccess
wscsvc


安全提示

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您“发现未知间谍软件”,请直接选择删除处理;

如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现" Trojan-Downloader.Win32.Golden.cfh”,请直接选择删除。



对于未使用微点主动防御软件的用户,微点反病毒专家建议
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新,及时打好漏洞补丁。
    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章