木马下载器Trojan-Downloader.Win32.Small.mcb

木马下载器Trojan-Downloader.Win32.Small.mcb

该程序是使用VC编写的木马下载器，采用UPX加壳方式试图躲避特征码扫描，加壳后长度为4,608字节，使用Windows默认可执行文件图标，病毒扩展名为exe，主要通过网页木马、文件捆绑方式传播。

病毒分析

　　该程序被激活后，将字符串IEXPLORE.EXE、EXPLORER.EXE分别与IEXPLORE.EXE进行比较；
　　若相同则通过API函数ShellExecuteA开启IEXPLORE.EXE进程，申请内存空间将病毒一部分代码写入，通过远程线程创建激活病毒代码进行代码注入以逃避杀毒软件的查杀，并访问如下网址将病毒程序下载到％systemroot％\system32目录下并运行；
　　若不同则遍历进程查找EXPLORER.EXE，如果找到则申请内存空间将病毒另一部分代码写入，通过远程线程创建激活病毒代码进行代码注入逃避杀毒软件的查杀，访问网站http://***.plunix.org将蠕虫程序d.exe下载到％systemroot％\system32目录下并运行，否则遍历进程查找winlogon.exe，获取其安全描述符提升病毒自身权限，申请内存空间将病毒另一部分代码写入，通过相关API函数激活病毒代码实现下载功能；
　　通过运行命令行将病毒原文件删除。

技术细节

病毒下载网址：
http://***.777fz.com.cn/pk/mm/1.exe
http://***.777fz.com.cn/pk/mm/2.exe
http://***.777fz.com.cn/pk/mm/3.exe
http://***.777fz.com.cn/pk/mm/4.exe
http://***.777fz.com.cn/pk/mm/5.exe

安全提示

　　安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您“发现未知间谍软件”，请直接选择删除处理；

　　如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现“Trojan-Downloader.Win32.Small.mcb”，请直接选择删除。


对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。

www.newjian.com