Trojan.Win32.Agent.aecd（kdlgf.exe）分析

病毒名称：AntiVir ：-
Kaspersky ：Trojan.Win32.Agent.aecd
NOD32v2：-
Rising ：Trojan.Win32.DNSChanger.drb
扫描时间：2008.09.19 09:24:25 (CET)

EQS Lab编号：080919065
EQS Lab地址：http://hi.baidu.com/eqsyssecurity
病毒大小：49.5 KB (50,688 字节)
MD5码：322DAB78A9A2D813699BF279BFABB3A4
病毒类型： 特洛伊木马
主要传播方式： 网络
测试平台： WinXP SP3系统 (默认Shell为BBlean) EQSecurity（HIPS） 实机
危害程度：★★★☆☆


病毒行为：

运行后向system32创建exe tmp



2008-09-19 16:13:35 创建文件
进程路径:F:\Once\kdlgf\kdlgf.exe
文件路径:C:\windows\system32\kdvvt.exe
触发规则:所有程序规则->文件阻止及保护->?:\*.exe

2008-09-19 16:13:35 创建文件
进程路径:F:\Once\kdlgf\kdlgf.exe
文件路径:C:\windows\system32\kdvkm.tmp
触发规则:所有程序规则->文件夹保护->%windir%*



创建启动项



2008-09-19 16:13:56 创建注册表值
进程路径:F:\Once\kdlgf\kdlgf.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:C:\windows\system32\kdrsj.exe
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*



修改csrss.exe内存



2008-09-19 16:13:57 修改其它进程内存
进程路径:F:\Once\kdlgf\kdlgf.exe
目标进程:C:\WINDOWS\system32\csrss.exe
触发规则:所有程序规则->进程保护->%windir%\system32\csrss.exe



调用devcon.exe 并修改内存



2008-09-19 16:14:44 运行应用程序
进程路径:F:\Once\kdlgf\kdlgf.exe
文件路径:C:\WINDOWS\devcon.exe
触发规则:所有程序规则->阻止运行->%windir%\*

2008-09-19 16:14:56 修改其它进程内存
进程路径:F:\Once\kdlgf\kdlgf.exe
目标进程:C:\WINDOWS\devcon.exe
触发规则:所有程序规则->阻止运行->%windir%\*





关键行为：


向system32目录创建exe tmp

修改csrss.exe devcon.exe 进程内存



HIPS防范对策：



阻止陌生程序向system32目录创建exe tmp

阻止陌生程序修改csrss.exe devcon.exe 进程内存