极虎AV终结者详细分析.docVIP

极虎AV终结者详细分析 OPEN=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\Setup.exe2010年06月14日 星期一 15:52原始样本名称：Setup.exe 样本大小：243KB SHA值：E6FD82F5B0D4DB6E08F1B6D73E55C9224E14E53E 获取途径：优盘下的recycle.{645FF040-5081-101B-9F08-00AA002F954E}文件夹中。 安全阁鉴定结果：病毒命名为Trojan.Win32.KillAV.A。运行平台Windows平台。 分析人：安全阁阁主 一、样本的主要行为： 替换系统服务关联程序，加载驱动对抗杀软，破坏安全模式、感染磁盘文件、感染共享文件、利用局域网传播、利用移动设备传播、下载文件。 二、此病毒的爆发方式： 计算机病毒的爆发方式通常取决于该病毒的传播方式。 此病毒的传播方式有三种： 1、此病毒感染系统中或局域网中的EXE文件和压缩包中的EXE文件，当未感染病毒的用户双击了受感染的EXE文件，因为被感染，所以病毒代码首先拿到控制权，将创建一个c:\booter.exe文件，然后运行启动它，之后再把控制权交还给被感染的文件。这样病毒在此用户计算机上爆发。 2、此病毒将在移动设备(如：优盘)中写入病毒即Autorun.inf文件，当未感染病毒的用户计算机开启了移动设备的自动播放功能，并且在其计算机上使用了带毒的移动设备，而且是通过双击操作打开的移动设备盘符，此时病毒利用Windows自动播放功能将运行在移动设备中的recycle.{645FF040-5081-101B-9F08-00AA002F954E}\Setup.exe文件。这样病毒此用户计算机上爆发。 3、此病毒在局域网中某台计算机上爆发后，将利用自身携带的密码字典尝试登录局域网的中其他计算机，如果登录成功则将病毒样本上传到那台计算机中C盘，命名为CONFIG.exe(c:\CONFIG.exe)，并且设置一个计划任务待上传样本3分钟后病毒自动运行，从而爆发。 三、病毒爆发后的主体行为如下： 1、判断自身爆发的路径是不是移动设备，如果是则把该路径盘符打开。（这样做的目的是：因为移动设备利用自动播放Autorun.inf功能可以达到双击盘符运行指定程序的目的，但是这样每次双击盘符就只能运行Autorun.inf中指定的程序，而不能再打开移动设备的盘符了。这无疑会使用户起疑，所以病毒在运行的同时帮助用户打开了盘符。又因为病毒的运行是悄无声息的，所以给用户的感觉是双击盘符就打开了，从而不会怀疑自己中毒了。） 2、尝试打开管道\\\\.\\pipe\\96DBA249-E88E-4c47-98DC-E18E6E，并且与之通信。（如果计算机上已经运行有此病毒，则会创建这个管道，与以后运行的病毒进行通信）如果通信成功则说明计算机中已经运行了该病毒，此时则保存已运行的计算机病毒通过管道发送过来的服务名。病毒在C盘下创建文件C:\delinfo.bin，其中的内容是：4个字节的标志位（此标志位的值取决于与管道通信是否成功，成功则标志位的值是1，否则是2。该标志位用于之后病毒操作的判断），然后是病毒自身的完整路径。病毒创建这个文件的目的是为了告诉之后的病毒自己的位置，然后把自己删掉。 3、循环执行解密操作，解密样本中的字符串，每次循环解密两次：一次解密的得到的是服务名另一次解密得到的是服务对应的动态链接库名。 如果完全循环完毕则最终得到的解密串如下： 服务名有： AppMgmt.BITS.FastUserSwitchingCompatibility.WmdmPmSN.xmlprov.EventSystem.Ntmssvc.upnphost.SSDPSRV.Net man.Nla.Tapisrv.Browser.CryptSvc.helpsvc.RemoteRegistry.Schedule （这些串实际上对应于注册表中HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost路径下netsvcs类型的若干服务名称） 动态链接库有： appmgmts.qmgr.shsvcs.mspmsnsv.xm lprov.es.ntmssvc .upnphost.ssdpsr man.mswsock .tapisrv.browser.cryptsvc.pchsvc.regsvc.schedsvc （这些串实际上对应于以上服务所要加载的动态链接库的名字） 在循环过程中，每得到一个服务名，则与先前进行管道通信时得到的服务名进行比较，如果一致则继续循环解密下一个，如果不一致则执行以下操作（这样判