Trojan.Win32.BHO.ab分析报告

Trojan.Win32.BHO.ab分析报告


安天CERT

一、    病毒标签：

病毒名称： Trojan.Win32.BHO.ab
病毒类型： 木马类
文件 MD5： 86773C42FF56F72CF1CEB3C120A5BE26
公开范围： 完全公开
危害等级： 3
文件长度： 135,168 字节
感染系统： windows 98以上版本
开发工具： Micorsoft Visual C++ 7.0
加壳类型： 无

二、 病毒描述：

该病毒为木马类，病毒运行后衍生病毒文件到系统目录下。 修改注册表，添加启动项，以达到随浏览器启动而启动的目的，启动后进行劫持浏览器，键盘记录等相关病毒行为。主动连接网络，下载相关病毒文件信息。该病毒通过恶意网站、其它病毒/木马下载传播，可以盗取用户敏感信息。

三、 行为分析：

1、病毒运行后，衍生病毒文件到系统目录下：
%Program Files%/NetMeeting/lawugeqi
%Program Files%/NetMeeting/lawugeqi.dll
%Program Files%/NetMeeting/ progyrtaky.html

2、修改注册表，添加启动项，以达到随浏览器启动而启动的目的：
HKEY_LOCAL_MACHINE/SOFTWARE/Classes/CLSID/{CB44128D-95B1-4A2F-31B2-FE434A08B86C}/InProcServer32
键值: 字串: "　默认　" =  "C:/Program Files/NetMeeting/lawugeqi.dll"
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects/{CB44128D-95B1-4A2F-31B2-FE434A08B86C}/
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects/{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
键值: 字串: "　默认　" = "0"

3、lawugeqi.dll随IEXPLORER.EXE进程的启动而启动，进行劫持浏览器，键盘记录等相关病毒行为。

4、主动连接网络，下载相关病毒文件信息:

地址:端口 如下：
193.189.93.14:80
209.139.239.118:80
69.20.25.92:80
209.162.178.14:80

下载文件如下：
to[1].htm
zone[1].htm
actdkpubid64[1].htm
tekID64[1].ini
hGFdeYYm64pUIdwQ[1].exe

5、该病毒通过恶意网站、其它病毒/木马下载传播，可以进行劫持浏览器，键盘记录,盗取用户敏感信息等。

注释：
%Windir%                      WINDODWS所在目录
%DriveLetter%                逻辑驱动器根目录
%ProgramFiles%                系统程序默认安装目录
%HomeDrive%                  当前启动系统所在分区
%Documents and Settings%    当前用户文档根目录
%Temp%                        当前用户TEMP缓存变量；路径为：
%Documents and Settings%/当前用户/Local Settings/Temp
%System32%                    是一个可变路径；
病毒通过查询操作系统来决定当前System32文件夹的位置；
Windows2000/NT中默认的安装路径是　C:/Winnt/System32；
Windows95/98/Me中默认的安装路径是　C:/Windows/System；
WindowsXP中默认的安装路径是　C:/Windows/System32。
       
四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。
(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程
        强行终止lawugeqi.dll运行

(2) 强行删除病毒文件
    %Program Files%/NetMeeting/lawugeqi
%Program Files%/NetMeeting/lawugeqi.dll
%Program Files%/NetMeeting/ progyrtaky.html
to[1].htm
zone[1].htm
actdkpubid64[1].htm
tekID64[1].ini
hGFdeYYm64pUIdwQ[1].exe
   
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINE/SOFTWARE/Classes/CLSID/{CB44128D-95B1-4A2F-31B2-FE434A08B86C}/InProcServer32
键值: 字串: "　默认　" =  "C:/Program Files/NetMeeting/lawugeqi.dll"
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects/{CB44128D-95B1-4A2F-31B2-FE434A08B86C}/
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects/{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
键值: 字串: "　默认　" = "0"