Backdoor.Win32.Agent.pix（rapimgr.exe、utilty.exe）分析

　　该病毒是后门型病毒，病毒图标为"HTML Document"类型，以迷惑用户点击运行病毒。病毒运行后，衍生病毒文件rapimgr.exe、utilty.exe到系统目录%System32%下；新增注册表项，创建服务ClientService，病毒服务启动的映像路径指向utilty.exe；创建服务RMTCS，病毒服务启动的映像路径指向rapimgr.exe；用来当任意用户登陆系统时运行病毒文件rapimgr.exe、utilty.exe。该病毒在执行完自身代码后，会结束自身进程，删除自身。受感染用户可能会被操纵进行Ddos攻击、远程控制、机密信息丢失、发送垃圾邮件、创建本地Tftp、下载病毒文件等行为。

　　行为分析-本地行为

　　1、文件运行后会释放以下文件

　　%System32%rapimgr.exe 37,197字节

　　%System32%utilty.exe 36,265字节

　　2、新增注册表

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesClientService]

　　注册表值: " Description "

　　类型： REG_SZ

　　字符串： "监视新硬盘驱动器并向逻辑磁盘管理器管理服务发送卷的信息以便配置。如果此服务被终止，动态磁盘状态和配置信息会过时。如果此服务被禁用，任何依赖它的服务将无法启动。"

　　描述:服务描述

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesClientService]

　　注册表值: " DisplayName "

　　类型： REG_SZ

　　字符串： "Distributed Link Tracking Client Service"

　　描述:服务名称

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesClientService]

　　注册表值: "ImagePath"

　　类型： REG_SZ

　　字符串： "C:WINDOWSsystem32utilty.exe"

　　描述:服务的映像文件的启动路径

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesClientService]

　　注册表值: "Start "

　　类型： DWORD

　　值： 2

　　描述:服务的启动方式为自动

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRMTCS]

　　注册表值: " Description "

　　类型： REG_SZ

　　字符串： "使用传输协议而不是命名管道的远程过程调用(RPC)程序提供安全机制。"

　　描述:服务描述

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRMTCS]

　　注册表值: " DisplayName "

　　类型： REG_SZ

　　字符串： "Remote Tracking Client Service"

　　描述:服务名称

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRMTCS]

　　注册表值: "ImagePath"

　　类型： REG_SZ

　　字符串： "C:WINDOWSsystem32rapimgr.exe"

　　描述:服务的映像文件的启动路径

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRMTCS]

　　注册表值: "Start "

　　类型： DWORD

　　值： 2

　　描述:服务的启动方式为自动

　　清除方案

　　手工清除请按照行为分析删除对应文件，恢复相关系统设置。

　　(1) 使用Atool“进程管理”关闭病毒进程

　　%System32%rapimgr.exe

　　%System32%utilty.exe

　　（2） 删除病毒衍生的文件

　　%System32%rapimgr.exe

　　%System32%utilty.exe

　　（3） 删除病毒添加的注册表服务项

　　删除[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices]下的ClientService、RMTCS服务。