Trojan-Downloader.Win32.Agent.hgs 木马查杀

Trojan-Downloader.Win32.Agent.hgs 木马查杀

一、 病毒标签：
病毒名称： Trojan-Downloader.Win32.Agent.hgs
病毒类型： 木马

文件大小 :   18576 byte
文件类型 :   MS-DOS executable (EXE), OS/2 or MS Windows
MD5 :   24428572cd5c58c63c2e66bc0b29fec8
SHA1 :   12976293c8ec6a607d2584e42989aca8d3f4d773
公开范围： 完全公开
危害等级： C
开发工具： Microsoft Visual C++
加壳类型： eXPressor v1.3 -> CGSoftLabs (h)壳
命名对照： 

瑞星  Trojan.DL.Win32.Small.tor
金山毒霸  Win32.TrojDownloader.Agent.69632

二、 病毒描述：
该病毒为盗号木马，运行后释放BAT文件和REG文件注册启动项目，并通过DLL文件截取密码信息发送至网络。

三、 行为分析：
运行后在病毒程序同一目录下衍生文件（cmdd.bat）自杀：
:delit
del "C:\Documents and Settings\Administrator\桌面\MCS.exe"
if exist "C:\Documents and Settings\Administrator\桌面\MCS.exe" goto delit
del "cmdd.bat"

释放DLL文件：
c:\WINDOWS\system32\wminotify.dll
再释放文件：
c:\WINDOWS\system32\install.bat
这个BAT调用REG文件进行注册启动项目：
c:\WINDOWS\system32\On.reg：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\

Windows NT\CurrentVersion\Winlogon\Notify\wminotify]
"DllName"="wminotify.dll"
"Asynchronous"=dword:00000001
"Impersonate"=dword:00000000
"Startup"="EventStartup"

截获到的密码信息发送至
http://www.asm32.cn/post.asp
参数：UNICODE "User=%s&Pass=%s"

解决方案：
删除文件：
 c:\WINDOWS\system32\install.bat
 c:\WINDOWS\system32\On.reg
 c:\WINDOWS\system32\wminotify.dll

删除启动项目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wminotify

专杀下载

注：

%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%   = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
     %Windir%\       WINDODWS所在目录
%DriveLetter%\    逻辑驱动器根目录
%ProgramFiles%\    系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录

www.newjian.com