科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道木马下载器Trojan-Downloader.Win32.Delf.klt

木马下载器Trojan-Downloader.Win32.Delf.klt

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

该木马程序是使用Delphi编写的下载程序,由微点主动防御软件自动捕获,采用UPX加壳方式试图躲避特征码扫描,加壳后长度24,064字节,病毒扩展名为exe,主要通过网页木马、文件捆绑传播,病毒主要下载其他病毒程序。

作者:zdnet安全频道 来源:论坛整理 2008年6月24日

关键字: 下载器 木马

  • 评论
  • 分享微博
  • 分享邮件

该木马程序是使用Delphi编写的下载程序,由微点主动防御软件自动捕获,采用UPX加壳方式试图躲避特征码扫描,加壳后长度24,064字节,图标为
,病毒扩展名为exe,主要通过网页木马、文件捆绑传播,病毒主要下载其他病毒程序。

病毒分析

该木马程序被执行后,遍历进程查找360Safe.exe、360Tray.exe将其关闭;   拷贝自身到%SystemRoot%\system32目录下,重命名为tcpip.exe,在同一目录下释放动态库msiupdata.dll;调用SCM写注册表,将病毒拷贝tcpip.exe注册成名为msiupdata的服务,使用相关API函数启动被注册的服务;遍历进程查找explorer.exe,申请内存空间将msiupdata.dll写入,使用远程线程激活病毒代码并进行代码注入;以批处理的形式将病毒原程序删除;

   Quote:
项:HKLM\SYSTEM\CurrentControlSet\Services\msiupdata\
键值:DisplayName
指向数据:msiupdata

项:HKLM\SYSTEM\CurrentControlSet\Services\msiupdata\
键值:ImagePath
指向文件:%SystemRoot%\system32\tcpip.exe

项:HKLM\SYSTEM\CurrentControlSet\Services\msiupdata\
键值:Start
指向数据:02


msiupdata.dll加载运行后,先使用API函数InternetCheckConnectionA检查网络连通情况,如果网络连通则访问恶意网站下载其他病毒程序并运行。


安全提示

  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”,请直接选择删除处理;

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现" Trojan-Downloader.Win32.Delf.klt”,请直接选择删除。



  对于未使用微点主动防御软件的用户,微点反病毒专家建议:
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新,及时打好漏洞补丁。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章