Trojan-Downloader.Win32.Agent.qpv

Trojan-Downloader.Win32.Agent.qpv下载者木马类，病毒运行后调用API获取系统文件夹路径，衍生病毒文件到%Windir%\AppPatch目录下，重命名为Jview.dll与AcXtrnel.dll，并添加注册表启动项，创建rundll32.exe使该进程加载病毒DLL文件，连接网络下载大量恶意病毒文件到本地执行，经分析下载的大量病毒为盗号木马类，给用户清理造成极大的不便。 
 
Jview.dll,Trojan-Downloader.Win32.Agent.qpv本地行为：

1、文件运行后会释放以下文件：
%Windir%\AppPatch\Jview.dll 13,824 字节
%Windir%\AppPatch \AcXtrnel.dll 　　9,216 字节

2、添加注册表病毒启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
新建键值: "@"
类型： REG_SZ
字符串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加注册表项，以达到随机启动的目的

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
新建键值: "ThreadingModel"
类型： REG_SZ
字符串： “Apartment”
描述: 注册CLSID值

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
新建键值: "JavaView"
类型： REG_SZ
字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”

3、创建rundll32.exe使该进程加载病毒DLL文件。

4、连接网络读取列表下载大量恶意病毒文件到本地执行。

Jview.dll,Trojan-Downloader.Win32.Agent.qpv网络行为:

协议：TCP
端口：53
连接服务器名：125.83.89.**
IP地址：125.83.89.**
描述：连接服务器读取TXT列表内容下载病毒，读取的列表内容：
http://125.83.89.**:53/10.gif
http://125.83.89.**:53/11.gif
http://125.83.89.**:53/12.gif
http://125.83.89.**:53/13.gif
http://125.83.89.**:53/14.gif
http://125.83.89.**:53/15.gif
http://125.83.89.**:53/16.gif
http://125.83.89.**:53/17.gif
http://125.83.89.**:53/18.gif
http://125.83.89.**:53/19.gif
http://125.83.89.**:53/2.gif
http://125.83.89.**:53/20.gif
http://125.83.89.**:53/3.gif
http://125.83.89.**:53/4.gif
http://125.83.89.**:53/5.gif
http://125.83.89.**:53/6.gif
http://125.83.89.**:53/7.gif
http://125.83.89.**:53/8.gif
http://125.83.89.**:53/9.gif
http://abc.updat****.cn/21.gif
http://abc.updat****.cn/22.gif
http://abc.updat****.cn/23.gif
http://abc.updat****.cn/24.gif
http://abc.updat****.cn/25.gif
http://abc.updat****.cn/26.gif
http://abc.updat****.cn/27.gif
http://abc.updat****.cn/28.gif
http://abc.updat****.cn/29.gif
http://abc.updat****.cn/30.gif
http://abc.updat****.cn/31.gif
http://abc.updat****.cn/32.gif
http://abc.updat****.cn/33.gif
http://abc.updat****.cn/34.gif
http://abc.updat****.cn/35.gif

Jview.dll,Trojan-Downloader.Win32.Agent.qpv清除方案：

1 、使用安天防线2008可彻底清除此病毒(推荐)，

2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用ATOOL“进程管理”找到rundll32.exe进程结束该进程。
(2)强行删除病毒文件：
%Windir%\AppPatch\Jview.dll
%Windir%\AppPatch \AcXtrnel.dll
(3)删除病毒服务注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
新建键值: "@"
类型： REG_SZ
字符串： “C:\WINDOWS\AppPatch\Jview.dll”
描述: 添加注册表项，以达到随机启动的目的
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}\InprocServer32]
新建键值: "ThreadingModel"
类型： REG_SZ
字符串： “Apartment”
描述: 注册CLSID值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
新建键值: "JavaView"
类型： REG_SZ
字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”

3、最后清除系统垃圾文件（主要是临时文件夹）