Trojan-Downloader.Win32.Agent.ue
中文名稱： 落雪變種病毒類型： 木馬檔案 MD5： D66859A23DA410C0CA9E8DAF387565B9
公開範圍： 完全公開
危害等級： 5
檔案長度： 19,968 位元組
感染系統： windows98以上版本
開發工具： Microsoft Visual C++ 6.0 DLL加殼類型： tElock 0.99 - 1.0 private命名對照： 驅逐艦[Trojan.Downloader.8019]
BitDefender [Trojan.Downloader.Agent.UE]
病毒描述：
該病毒屬木馬類，病毒運行後衍生病毒檔案，修改註冊表，添加啟動項，以達到隨機啟動的目的，連線網路，下載大量病毒檔案，並自動運行，修改.exe檔案的關聯檔案，使可exe檔案無法正常運行。
行為分析：
1、病毒運行後衍生病毒檔案，連線網路下量病毒檔案，並自動運行：
%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com
%WINDOWS%\1.com
%WINDOWS%\608769.dll
%WINDOWS%\608769m.bmp
%WINDOWS%\exeroute.exe
%WINDOWS%\explorer.com
%WINDOWS%\finder.com
%WINDOWS%\kb608769m.log
%WINDOWS%\winlogon.exe
%system32%\command.pif
%system32%\dlmain.dll
%system32%\dlmon.dll
%system32%\dxdiag.com
%system32%\finder.com
%system32%\msconfig.com
%system32%\regedit.com
%system32%\rundll32.com
2、添加啟動項，以達到隨機啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
鍵值: 字串: "Trojan Program "="C:\WINDOWS\WINLOGON.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\@
新建鍵值: 字串: "winfiles"
原鍵值: 字串: "exefile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\shellnew\Command
新建鍵值: 字串: "%systemroot%\system32\rundll32.com %SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"
原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew\Command
新建鍵值: 字串: "rundll32.com appwiz.cpl,NewLinkHere %1"
原鍵值: 字串: "rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications
\iexplore.exe\shell\open\command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com" %1"
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\\shell\OpenHomePage\Command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com""
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command\@
新建鍵值: 字串: "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原鍵值: 字串: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command\@
新建鍵值: 字串: "%SystemRoot%\explorer.com"
原鍵值: 字串: "%SystemRoot%\explorer.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command\@
新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com netshell.dll, InvokeDunFile %1"
原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe NETSHELL.DLL, InvokeDunFile %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com" %1"
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.com" -nohome"
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\command\@
新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" %1"
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command\@
新建鍵值: 字串: "rundll32.com %SystemRoot%\system32\mshtml.dll,PrintHTML "%1""
原鍵值: 字串: "rundll32.exe %SystemRoot%\system32\mshtml.dll,PrintHTML "%1""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open\command\@
新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" -nohome"
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\@
新建鍵值: 字串: "%SystemRoot%\System32\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
原鍵值: 字串: "%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection
DefaultInstall 132 %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut\shell\open\command\@
新建鍵值: 字串: "finder.com shdocvw.dll,OpenURL %l"
原鍵值: 字串: "rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\install\command\@
新建鍵值: 字串: "finder.com desk.cpl,InstallScreenSaver %l"
原鍵值: 字串: "rundll32.exe desk.cpl,InstallScreenSaver %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command\@
新建鍵值: 字串: ""C:\WINDOWS\system32\finder.com"
C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""
原鍵值: 字串: ""C:\WINDOWS\system32\RUNDLL32.EXE" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command\@
新建鍵值: 字串: "finder.com url.dll,TelnetProtocolHandler %l"
原鍵值: 字串: "rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command\@
新建鍵值: 字串: "%SystemRoot%\system32\finder.com %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"
原鍵值: 字串: "%SystemRoot%\system32\finder.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\@
新建鍵值: 字串: "iexplore.pif"
原鍵值: 字串: "IEXPLORE.EXE"
3、修改.exe檔案的關聯檔案，使可exe檔案無法正常運行。
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com
%WINDOWS%\1.com
%WINDOWS%\608769.dll
%WINDOWS%\608769m.bmp
%WINDOWS%\exeroute.exe
%WINDOWS%\explorer.com
%WINDOWS%\finder.com
%WINDOWS%\kb608769m.log
%WINDOWS%\winlogon.exe
%system32%\command.pif
%system32%\dlmain.dll
%system32%\dlmon.dll
%system32%\dxdiag.com
%system32%\finder.com
%system32%\msconfig.com
%system32%\regedit.com
%system32%\rundll32.com
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run"鍵值: 字串: "Trojan Program
"="C:\WINDOWS\WINLOGON.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\@
新建鍵值: 字串: "winfiles"
原鍵值: 字串: "exefile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew\Command
新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com
%SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"
原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe
%SystemRoot%\system32\ syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew\Command
新建鍵值: 字串: "rundll32.com appwiz.cpl,NewLinkHere %1"
原鍵值: 字串: "rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications
\iexplore.exe\shell\open\command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.com" %1"
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-
42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.com""
原鍵值: 字串: ""C:\Program Files\Internet Explorer\iexplore.exe""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell
\cplopen\command\@
新建鍵值: 字串: "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原鍵值: 字串: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command\@
新建鍵值: 字串: "%SystemRoot%\explorer.com"
原鍵值: 字串: "%SystemRoot%\explorer.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command\@
新建鍵值: 字串: "%SystemRoot%\system32\rundll32.com NETSHELL.DLL, InvokeDunFile %1"
原鍵值: 字串: "%SystemRoot%\system32\rundll32.exe NETSHELL.DLL, InvokeDunFile %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.com" %1"
原鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell
\open\command\@
新建鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.com" -nohome"
原鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell
\opennew\command\@
新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" %1"
原鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command\@
新建鍵值: 字串: "rundll32.com %SystemRoot%\system32
\mshtml.dll,PrintHTML "%1""
原鍵值: 字串: "rundll32.exe %SystemRoot%\system32
\mshtml.dll,PrintHTML "%1""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open
\command\@
新建鍵值: 字串: ""C:\Program Files\common~1\iexplore.pif" -nohome"
原鍵值: 字串: ""C:\Program Files\Internet Explorer
\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\@
新建鍵值: 字串: "%SystemRoot%\System32\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
原鍵值: 字串: "%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut
\shell\open\command\@
新建鍵值: 字串: "finder.com shdocvw.dll,OpenURL %l"
原鍵值: 字串: "rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\install\command\@
新建鍵值: 字串: "finder.com desk.cpl,InstallScreenSaver %l"
原鍵值: 字串: "rundll32.exe desk.cpl,InstallScreenSaver %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile\Shell\Generate Typelib\command\@
新建鍵值: 字串: ""C:\WINDOWS\system32\finder.com" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""
原鍵值: 字串: ""C:\WINDOWS\system32\RUNDLL32.EXE" C:\WINDOWS\system32\scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open\command\@
新建鍵值: 字串: "finder.com url.dll,TelnetProtocolHandler %l"
原鍵值: 字串: "rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command\@
新建鍵值: 字串: "%SystemRoot%\system32\finder.com %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"
原鍵值: 字串: "%SystemRoot%\system32\finder.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\@
新建鍵值: 字串: "iexplore.pif"
原鍵值: 字串: "IEXPLORE.EXE"
