Trojan-Downloader.Win32.IstBar.bj
中文名稱： IstBar.bj變種病毒類型： 木馬
檔案 MD5： 2BAFE93F5AE8260115098D1661B3DC83
公開範圍： 完全公開
危害等級： 中
檔案長度： 53,248 位元組
感染系統： windows 98 及以上版本
開發工具： Microsoft Visual C++
加殼類型： 未知殼
命名對照： Symentec[無]
Mcafee[無]
病毒描述：
該病毒屬木馬類，它最主要的危害在於病毒運行後會下載好多其他惡意程式、廣告外掛程式到主機上運行。病毒運行後會修改註冊表檔案，在啟動項中新建鍵值， 病毒還會嘗試連線網路，下載病毒相關檔案到本地的%Program Files%\、%Temp%\資料夾下運行，該病毒對用戶有一定的危害。
行為分析：
1、病毒運行後會修改註冊表檔案，在啟動項中新建一些鍵值：
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：Saap
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：sahrd
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：sahre
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：saip
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：salm
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：saie
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：samds
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：sais
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：180ax
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：searchassistant
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：180sa
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：zango
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：msbb
......
2、病毒會嘗試從以下網站下載病毒相關檔案到本地運行：
http://install.x******bar.com/ist/scripts
/ist_shortcuts_list.php
http://install.x******bar.com/ist/softwares
/addins/rb32.exe
http://install.x******bar.com/ist/softwares
/addins/istsvc.exe
http://install.x******bar.com/ist/softwares/istupdates
/istsvc_updater.exe
http://install.x******bar.com/ist/softwares
/addins/bb.exe
http://install.x******bar.com/ist/softwares
/addins/igetnet.exe
http://install.x******bar.com/ist/softwares/addins
/lycos_ss.exe
http://install.x******bar.com/ist/softwares/addins
/statblaster.exe
http://install.x******bar.com/ist/softwares/addins
/ncase.exe
http://install.x******bar.com/ist/softwares/addins
/whenu.exe
http://install.x******bar.com/ist/softwares/addins
/keywordsinc.exe
http://install.x******bar.com/ist/softwares/addins
/commonname.exe
http://install.x******bar.com/ist/softwares/addins
/optimize.exe
http://install.x******bar.com/ist/softwares/addins
/sexy_download.exe
http://install.x******bar.com/ist/softwares/toolbars
/istbar_mainstream.dll
http://install.x******bar.com/ist/softwares/addins
/powerscan.exe
3、病毒將下載的病毒相關檔案釋放到以下位置，待下載完一個病毒檔案後，病毒便會修改註冊表檔案，嘗試刪除這個病毒副本。
%Program Files\ISTbar\istbarcm.dll
%Program Files\ISTsvc\istsvc.exe
%Program Files\SACC\sacc.exe
%Program Files%\180Solutions\sais.exe
%Program Files%\ISTbar\istbar.dll
%Program Files%\YourSiteBar\ysb.dll
%Program Files%\PowerScan\powerscan.exe
%Windows%\<random name>.exe
%Temp%\targetsaver.exe
%Temp%\optimize.exe
%Temp%\webrebates.exe
%Temp%\hli.exe
%Temp%\sidefind.exe
%Temp%\cxtpls_loader.exe
%Temp%\dealhelper.exe
%Temp%\sahagent.exe
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒相關檔案：
%Program Files\ISTbar\istbarcm.dll
%Program Files\ISTsvc\istsvc.exe
%Program Files\SACC\sacc.exe
%Program Files%\180Solutions\sais.exe
%Program Files%\ISTbar\istbar.dll
%Program Files%\YourSiteBar\ysb.dll
%Program Files%\PowerScan\powerscan.exe
%Windows%\<random name>.exe
%Temp%\targetsaver.exe
%Temp%\optimize.exe
%Temp%\webrebates.exe
%Temp%\hli.exe
%Temp%\sidefind.exe
%Temp%\cxtpls_loader.exe
%Temp%\dealhelper.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：Saap
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：sahrd
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：sahre
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：saip
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：salm
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：saie
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：samds
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：sais
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：180ax
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：searchassistant
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：180sa
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：zango
HKEY_LOCAL_METHINE\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：msbb
