Trojan-Downloader.Win32.Agent.feq（atielf.dat，update.t）分析
病毒描述：
该病毒为木马类，病毒运行后，在%Systme32%下衍生病毒文件atielf.dat；当用户
连接Internet时，将读取atielf.dat进而获取病毒列表文件update.txt中的URL，从而
下载并读取其信息使下载病毒文件在本机运行；通过给当前系统内执行的进程拍快照，来
判断是否存在AVP.exe进程，存在便通过API函数"SetSystemTime"修改系统时间为2001
年，月、日不变，以使卡巴斯基过期失效。新增注册表项，映像劫持多款安全软件，以降
低系统的安全性；调用svchost.exe进程加载病毒服务；此病毒完全执行自身代码后，会
结束自身进程、删除自身，病毒还会随机启动。
清除方案：
1 、使用安天防线2008可彻底清除此病毒(推荐)，
请到安天网站下载： www.antiy.com
2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)该病毒在运行后，实现完自身代码便会结束自身进程，
删除自身。
(2)删除病毒衍生的文件：
%System32%\atielf.dat
(3)删除病毒添加的注册表映像劫持项：
<1> 删除注册表项：
删除[HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows NT\CurrentVersion]下的
Image File Execution Options子键，如有需要的话，
可以通过在另一台与你安装同样操作系统的“裸机”导出此项，
在拷贝至本机进行导入。
行为分析：
本地行为：
1、文件运行后会释放以下文件：
%System32%\atielf.dat 128 字节
2、创建病毒服务LEGACY_484、LEGACY_ATIXEVE29875，其中数字部分是随机数字。
3、调用svchost.exe加载病毒服务，连接网络，通过读取%System32%\atielf.dat
去下载病毒列表文件update.txt。
4、通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe进程，存在便通过
API函数"SetSystemTime"修改系统时间为2001年，月、日不变，以使卡巴斯基过
期失效。
5、通过注册表映像劫持多款安全软件：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows NT\CurrentVersion
\Image File Execution Options\被映像劫持的文件名称]
注册表值： "Debugger"
类型： REG_SZ
字符串："C:\WINDOWS\system32\svchost.exe" 
文章评论
共有 0人发表了评论 查看完整内容