对 Trojan.DL.Win32.Mnless.yxx / alg.exe 的一点分析

对 Trojan.DL.Win32.Mnless.yxx / alg.exe 的一点分析

endurer 原创
2008-02-21 第1版

就是

Worm.Win32.Diskgen.gen/磁碟机也捎带广告？
http://blog.csdn.net/Purpleendurer/archive/2008/02/20/2110363.aspx

中的捕获的一个病毒文件。

文件说明符 : C:/WINDOWS/system32/drivers/alg.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-18 16:17:10
修改时间 : 2008-2-18 16:17:12
访问时间 : 2008-2-18 0:0:0
大小 : 18829 字节 18.397 KB
MD5 : e6b26c23fda20664844d870a662190da
SHA1: 30930C99E99E108AC8B06D19DB9D2056A552DD82
CRC32: ad1b25ac

Kaspersky 报为 Trojan-Downloader.Win32.Agent.iqj，瑞星报为 Trojan.DL.Win32.Mnless.yxx

alg.exe运行后会：

1.执行命令:
ping.exe ｗｗｗ．ｂａｉｄｕ．ｃｏｍ
arp.exe -s （将IP与MAC绑定)
arp.exe -d （清空ARP缓存)

2.加入代码:
/---
＜script src=hxxp://y**.g***xg*xy.net/1.js＞＜/script＞
---/
hxxp://y**.g***xg*xy.net/1.js为一个 包含“百万Q币大放送”等虚假信息的网页

3.下载、运行 hxxp://y**.g***xg*xy.net/setup.exe

文件说明符 : D:/test/setup.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-18 21:41:59
修改时间 : 2008-2-18 21:42:0
访问时间 : 2008-2-18 22:18:54
大小 : 144381 字节 140.1021 KB
MD5 : 8e23a5a2b949cb6c2c2b4037684219d1

Kaspersky 报为 Virus.Win32.Xorer.dr，其实为一个自解压程序：

;下面的注释包含自释放脚本命令
Setup=Setup.exe
TempMode
Silent=1
Overwrite=1

文件说明符 : D:/test/setup/Setup.exe
属性 : A---
获取文件版本信息大小失败!
创建时间 : 2008-2-18 21:44:15
修改时间 : 2008-2-16 12:49:2
访问时间 : 2008-2-18 22:19:13
大小 : 95744 字节 93.512 KB
MD5 : 13949cf3910b0d255439136ec1b6cd78
SHA1: 4D873D332FEDDEF66B90940CA18418FE91833EA7
CRC32: 652ce9ac

Setup.exe运行后

1、释放驱动： NetApi000.sys、文件：00302.log、cfg.dll、C:/WINDOWS/system32/Com/netcfg.000、C:/WINDOWS/system32/Com/netcfg.dll
C:/WINDOWS/system32/Com/SMSS.EXE等文件
并用命令regsvr32.exe /s 注册其中的DLL文件

2、会将自己复制到：
1)C:/WINDOWS/system32/Com，文件名：lsass.exe
2)C:/Documents and Settings/All Users/「开始」菜单/程序/启动 文件夹中，文件名格式为 ~.exe.*******.exe（其中*为数字）
3)各硬盘分区。文件名为pagefile.pif，相应的autorun.inf文件也会被创建

3、扫描、修改注册表项，如：
安全启动项：
SYSTEM/CurrentControlSet/Control/SafeBoot/Network/{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM/ControlSet001/Control/SafeBoot/Network/{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM/CurrentControlSet/Control/SafeBoot/Minimal/{4D36E967-E325-11CE-BFC1-08002BE10318}
SYSTEM/ControlSet001/Control/SafeBoot/Minimal/{4D36E967-E325-11CE-BFC1-08002BE10318}

系统安全防护软件的服务项：
SYSTEM/CurrentControlSet/Services/EQService
SYSTEM/CurrentControlSet/Services/HookSys
SYSTEM/CurrentControlSet/Services/McShield
SYSTEM/CurrentControlSet/Services/tmmbd
SYSTEM/CurrentControlSet/Services/PAVSRV
SYSTEM/CurrentControlSet/Services/SymEvent
SYSTEM/CurrentControlSet/Services/ekrn
SYSTEM/CurrentControlSet/Services/KAVBase
SYSTEM/CurrentControlSet/Services/klif
SYSTEM/CurrentControlSet/Services/AntiVirService
SYSTEM/CurrentControlSet/Services/MPSVCService

4、狙击常见安全软件。如：avast、itdefender、ewido、微点、费尔、eset、avg、dr.web等