广州服务器维修,广州服务器维护,邮件修复,广州网络维护

广州四达网络科技有限公司,广州最好的电脑维护公司,广州最好的电脑维修公司
  报修状态
报修时间 报修编号
2012-6-26  BX20120626034
2012-6-26  BX20120626033
2012-6-25  BX20120625032
2012-6-25  BX20120625031
2012-6-25  BX20120625030
2012-6-22  BX20120622029
2012-6-21  BX20120621028
2012-6-20  BX20120620027
2012-6-20  BX20120620026
2012-6-20  BX20120620025
2012-6-20  BX20120620024
2012-6-19  BX20120619023
2012-6-19  BX20120619022
2012-6-19  BX20120619021
2012-6-19  BX20120619020
2012-6-19  BX20120619019
2012-6-19  BX20120619018
2012-6-19  BX20120619017
2012-6-19  BX20120619016
2012-6-19  BX20120619015
2012-6-19  BX20120619014
2012-6-19  BX20120619013
2012-6-19  BX20120619012
2012-6-19  BX20120619011
2012-6-19  BX20120619010
2012-6-19  BX20120619009
2012-6-19  BX20120619008
2012-6-18  BX20120618007
2012-6-17  BX20120617006
  解决方案
  服务范围
维护收费标准
网络维护服务范围
包月/包年网络维护
系统集成方案服务
机房建设服务
电脑网络工程服务
安防监控
网站制作维护

联 系 人:吴先生
公司地址:广州天河区石碑西路蓬源大街10号科域楼
报修电话:020-85659484
报修电话:
020-87577770
报修电话:13728079495
修电真:020-87577616
电子 邮件:wu1138@it2015.com
联系  .QQ509854765
          89902283 
          89902284

传..  MSNwu1138@hotmail.com
  

Trojan/Win32.Agent.yep[Dropper]分析

转播到腾讯微博
双击自动滚屏 发布者:爱神哥哥 发布时间:2010-7-1 10:39:39 阅读:9123

病毒名称: Trojan/Win32.Agent.yep[Dropper]
病毒类型: 木马
文件 MD5: 71F8B2F57A92AFDE55B9B817C7F9F2ED
公开范围: 完全公开
危害等级: 4
文件长度: 131,072 字节
感染系统: Windows98以上版本
开发工具: Borland Delphi 6.0 - 7.0


病毒描述


该病毒文件为后门类木马,病毒运行后查找名为DVCLAL内的DLL类型的资源,找到后Load该资源信息,在病毒当前目录下衍生病毒DLL文件并将属性设置为隐藏,Load病毒DLL文件,调用病毒DLL的Install模块,遍历进程查找AVP.EXE找到后加载sfc_os.dll文件去掉对beep文件的修改提示,先将系统的beep.sys文件改名为beep.sys.tep释放beep.sys驱动文件到%drivers%目录下替换现有的文件,改驱动文件恢复SSDT绕过卡巴斯基主动防御,比较自身DLL进程路径是否为%System32%目录下的winnet.dll文件,如不是则将自身拷贝到该目录下命名成winnet.dll,添加注册表服务启动项,开启一个SVCHOST.EXE进程将病毒代码注入到该进程中连接网络进行通信,被控制的计算机会被控制者完全控制,病毒运行完毕后删除自身原文件。


行为分析-本地行为


1、文件运行后会释放以下文件
%System32%\drivers\beep.sys
%System32%\winnet.dll
%System32%\winnet.dll.uns

2、找名为DVCLAL内的DLL类型的资源,找到后Load该资源信息,在病毒当前目录下衍生病毒DLL文件并将属性设置为隐藏,Load病毒DLL文件,调用病毒DLL的Install模块,遍历进程查找AVP.EXE找到后加载sfc_os.dll文件去掉对beep文件的修改提示,先将系统的beep.sys文件改名为beep.sys.tep释放beep.sys驱动文件到%drivers%目录下替换现有的文件,改驱动文件恢复SSDT绕过卡巴斯基主动防御,比较自身DLL进程路径是否为%System32%目录下的winnet.dll文件,如不是则将自身拷贝到该目录下命名成winnet.dll,添加注册表服务启动项,开启一个SVCHOST.EXE进程将病毒代码注入到该进程中连接网络进行通信。

3、创建病毒服务
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet\Description
值: 字符串: "Background Intelligent Transfer Tool"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet\DisplayName
值: 字符串: "Install Bits Tool"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet\ImagePath
值: 字符串: "%SystemRoot%\System32\svchost.exe -k netsvcs."
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet\Parameters\ServiceDll
值: 字符串: "C:\WINDOWS\system32\winnet.dll."
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet\Start
值: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet\Type
值: DWORD: 272 (0x110)
描述:添加注册表服务


行为分析-网络行为


协议:TCP
端口:8000
IP地址:10.0.23.**
描述:连接到远程IP等待控制端发送控制指令

注:%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
%Windir%             WINDODWS所在目录
%DriveLetter%          逻辑驱动器根目录
%ProgramFiles%          系统程序默认安装目录
%HomeDrive%           当前启动的系统的所在分区
%Documents and Settings%    当前用户文档根目录
%Temp%             \Documents and Settings\当前用户\Local Settings\Temp
%System32%           系统的 System32文件夹

Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是%WINDOWS%\System
windowsXP中默认的安装路径是%system32%


--------------------------------------------------------------------------------

清除方案


1、使用安天防线可彻底清除此病毒(推荐),请点击下载(http://www.antiyfx.com/download.htm)。
2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。
推荐使用ATool管理工具,请点击下载(http://www.antiy.com/cn/download/atool.htm)。

(1)使用ATOOL管理工具,“进程管理”强行结束病毒开启的SVCHOST.EXE进程。

(2)删除病毒文件
%System32%\drivers\beep.sys
%System32%\winnet.dll
%System32%\winnet.dll.uns
将%System32%\drivers目录下的beep.sys.tep改名为beep.sys

(3)删除病毒添加的服务
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winet
删除Services键下的Winet主键值

广州电脑维修,广州服务器维修,广州电脑维护,广州IT外包,广州网站优化,广州布线工程,广州网络安装,广州网络维护、广州IT上门维保服务,广州IT外包服务,广州 服务器维护,广州网络布线,广州监控布线工程、广州网络维修,广州布线工程,广州打印机维修,广州电脑维护公司,广州路由器安装 鑫威电脑 中慧电脑 四达网络 综合 四达 网络工程 天河电脑维修 天河电脑维护 岗顶电脑维修 网站建设http://www.it2015.com/ 广州鑫威电脑技术服务中心
 
 

打印本页 || 关闭窗口

版权所有:广州四达网络科技有限公司 @2012 www.it2015.com www.it2015.com  All Right Reserved
办公地址:广州天河区石碑西路蓬源大街10号科域楼 公司地址:广州市天河区棠下涌东路大地工业区E座427房
 
             联系电话:020-85659484 87577770     传真:020-87577616     E-MAIL:wu1138@it2015.com   技术支持:爱神哥哥
               粤ICP备11087924号

                 DMOZ中文网站分类目录-免费收录各类优秀网站的中文网站目录.

广州及其周边服务区域:广州市 天河区 海珠区 东山区 越秀区 白云区 荔湾区 黄埔区 花都区 番禺区 南沙区 萝岗区 市桥镇

 

广州电脑维修,广州服务器维修,广州电脑维护,广州IT外包,广州网站优化,广州布线工程,广州网络安装,广州网络维护、广州IT上门维保服务,广州IT外包服务,广州服务器维护,广州网络布线,广州监控布线工程、广州网络维修,广州布线工程,广州打印机维修,广州电脑维护公司,广州路由器安装