科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道木马下载器Trojan-Downloader.Win32.Agent.tof

木马下载器Trojan-Downloader.Win32.Agent.tof

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

该木马是使用Delphi编写的下载程序,由微点主动防御软件自动捕获,采用加壳方式试图躲避特征码扫描,长度为472,576字节,病毒扩展名为exe,主要通过网页木马、文件捆绑方式传播,病毒主要下载其他病毒程序并运行。

作者:zdnet安全频道 来源:论坛整理 2008年6月24日

关键字: 下载器 木马

  • 评论
  • 分享微博
  • 分享邮件

病毒摘要

该木马是使用Delphi编写的下载程序,由微点主动防御软件自动捕获,采用加壳方式试图躲避特征码扫描,长度为472,576字节,图标为
,病毒扩展名为exe,主要通过网页木马、文件捆绑方式传播,病毒主要下载其他病毒程序并运行。

病毒分析

    该木马程序被执行后,拷贝自身到%ProgramFiles%\Internet Explorer\目录下,重命名为“help.com”,修改文件属性为隐藏、系统;调用SCM写注册表,将病毒拷贝help.com注册成名为“Clip Book server”的服务,使用相关API函数启动被注册的服务;以批处理的形式将病毒原文件删除;

  Quote:
项:HKLM\SYSTEM\CurrentControlSet\Services\Clip Book server\
键值:DisplayName
指向数据: Clip Book server

项:HKLM\SYSTEM\CurrentControlSet\Services\Clip Book server\
键值:ImagePath
指向文件:%ProgramFiles%\Internet Explorer\help.com

项:HKLM\SYSTEM\CurrentControlSet\Services\Clip Book server\
键值:Description
指向数据:关于微软窗口中启动和配置辅助工具。

项:HKLM\SYSTEM\CurrentControlSet\Services\Clip Book server\
键值:Start
指向数据:02


help.com运行后,在%ProgramFiles%\Internet Explorer\目录下释放动态库help.dll,修改文件属性为隐藏、系统;通过相关API函数加载动态库help.dll;help.dll运行后,访问恶意网站http://****b.dnscq.cn/2007.jpg下载其他病毒程序并运行;

安全提示

  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍”,请直接选择删除处理;

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现" Trojan-Downloader.Win32.Agent.tof”,请直接选择删除。



  对于未使用微点主动防御软件的用户,微点反病毒专家建议:
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新,及时打好漏洞补丁。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章