科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道Trojan.Win32.Agent.ksq(explorer.exe,extrem.sys)分析

Trojan.Win32.Agent.ksq(explorer.exe,extrem.sys)分析

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

此病毒为一个多线程病毒,病毒运行后,获得当前文件路径和系统%Temp%路径,判断当前运行文件是否是

来源:论坛整理 2008年10月29日

关键字: 安全防范 病毒资料 病毒查杀

  • 评论
  • 分享微博
  • 分享邮件
病毒名称: Trojan.Win32.Agent.ksq
病毒类型: 木马
文件 MD5: 2B6D4988F6EE560E6B55C2E0F60B9EDC
公开范围: 完全公开
危害等级: 5
文件长度: 10,920 字节
感染系统: Windows98以上版本
开发工具: Microsoft Visual C++

病毒描述


此病毒为一个多线程病毒,病毒运行后,获得当前文件路径和系统%Temp%路径,判断当前运行文件是否是“%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\explorer.exe”若不是则复制原病毒文件到“C:\Documents and Settings\All Users\「开始」菜单\程序\启动”目录内,命名为explorer.exe并创建新线程运行程序;若是则建立新线程运行文件。病毒衍生文件、创建启动项、连接网络下载文件、利用bat文件自删除。
行为分析-本地行为


1、 病毒衍生文件到目录:
%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\explorer.exe 10,920 字节
内,使程序能随系统启动而运行。用explorer.exe做文件名来迷惑用户。

2、注册服务
[HKLM\System\CurrentControlSet\Services]
注册表值: "IIS Manager "
类型: REG_SZ
值: "c:\documents and settings\qiuniao\local settings\temp\1.tmp "
此服务启动后,文件即被删除。

[HKLM\System\CurrentControlSet\Services]
注册表值: "extrem.sys"
类型: REG_SZ
值: " C:\DOCUME~1\qiuniao\LOCALS~1\Temp\extrem.sys "(找不到文件)


[HKLM\System\CurrentControlSet\Services]
注册表值: "rdtsc"
类型: REG_SZ
值: "C:\DOCUME~1\qiuniao\LOCALS~1\Temp\rdtsc"(找不到文件)
3、 病毒创建bat文件删除自身
病毒在%HomeDrive%创建文件_uninsep.bat。次文件循环查看病毒运行目录当遇到病毒文件时将其删除。
文件内容如下:
:Repeat
del "C:\Documents and Settings\qiuniao\桌面\dumped_.exe"
if exist "C:\Documents and Settings\qiuniao\桌面\dumped_.exe" goto Repeat
其中C:\Documents and Settings\qiuniao\桌面\dumped_.exe为病毒原文件。

行为分析-网络行为


病毒访问网络:
协议:TCP/IP
地址:www.lwe****.cn(218.61.17.***)
端口:80
行为:GET /pao.txt
返回信息:
HTTP/1.0 502 Bad Gateway
Server: squid/2.6.STABLE21
Date: Mon, 08 Sep 2008 02:59:01 GMT
Content-Type: text/html
Content-Length: 1101
Expires: Mon, 08 Sep 2008 02:59:01 GMT
X-Squid-Error: ERR_READ_ERROR 54
X-Cache: MISS from localhost
Connection: close


注: %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。
     %Windir%             WINDODWS所在目录
     %DriveLetter%          逻辑驱动器根目录
     %ProgramFiles%          系统程序默认安装目录
     %HomeDrive%           当前启动的系统的所在分区
     %Documents and Settings%    当前用户文档根目录
     %Temp%             \Documents and Settings\当前用户\Local Settings\Temp
     %System32%           系统的 System32文件夹
     Windows2000/NT中默认的安装路径是C:\Winnt\System32
     windows95/98/me中默认的安装路径是C:\Windows\System
     windowsXP中默认的安装路径是C:\Windows\System32   


--------------------------------------------------------------------------------

清除方案

手工清除请按照行为分析删除对应文件,恢复相关系统设置。
(1)使用安天木马防线或ATool中的“进程管理”结束病毒进程:
进程命为explorer.exe,映像路径为:%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\
(2)打开注册表编辑器删除以下注册表键值:
[HKLM\System\CurrentControlSet\Services]
注册表值: "IIS Manager "
类型: REG_SZ
值: "c:\documents and settings\qiuniao\local settings\temp\1.tmp "
[HKLM\System\CurrentControlSet\Services]
注册表值: "extrem.sys"
类型: REG_SZ
值: " C:\DOCUME~1\qiuniao\LOCALS~1\Temp\extrem.sys "(找不到文件)
[HKLM\System\CurrentControlSet\Services]
注册表值: "rdtsc"
类型: REG_SZ
值: "C:\DOCUME~1\qiuniao\LOCALS~1\Temp\rdtsc"(找不到文件)
3、删除病毒的衍生文件:
%HomeDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动\explorer.exe 10,920 字节
%HomeDrive%\_uninsep.bat 文件大小与病毒文件名及路径有关
    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章