减小字体
增大字体- ·上一篇文章：多重启动引导文件——BOOT.INI
- ·下一篇文章：解密的eva.vbs 病毒代码
- ·百度中搜索更多的关于“机器狗变种Trojan-Downloader.Win32.EDog.af”相关内容
- ·谷歌中搜索更多的关于“机器狗变种Trojan-Downloader.Win32.EDog.af”相关内容
- ******申明******
- 本站文章内容有部分为收录网络中其他网友内容，DOS资源站不保证所有的代码都适合你使用。
- 由于编辑匆忙，有可能造成某些脚本文件出现丢失代码或代码无法运行的情况，请网友根据情况自行修改。
- 如果能将出错部分反馈给我，那就更好了。
机器狗变种Trojan-Downloader.Win32.EDog.af
病毒名称
Trojan-Downloader.Win32.EDog.af
捕获时间
2008-05-24
病毒摘要
该木马是使用VC编写的可以穿透还原保护类型的下载者程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描,加壳后长度25,213字节，图标为，使用 exe扩展名，通过网页木马、其他下载器下载的方式传播，主要针对安装有还原系统的网吧进行攻击，攻击成功后自动下载多种盗号木马窃取网游玩家的用户密码信息。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、下载器下载
Trojan-Downloader.Win32.EDog.af
捕获时间
2008-05-24
病毒摘要
该木马是使用VC编写的可以穿透还原保护类型的下载者程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描,加壳后长度25,213字节，图标为，使用 exe扩展名，通过网页木马、其他下载器下载的方式传播，主要针对安装有还原系统的网吧进行攻击，攻击成功后自动下载多种盗号木马窃取网游玩家的用户密码信息。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、下载器下载
病毒分析
样本主程序分析
动作一：
该样本程序被执行后，查找自身资源名为“65”的资源，该资源为一个动态链接库文件，读取后将其释放到%temp%目录下命名为“dat*.tmp”并加载到自身进程空间。
动作二：
提升自身进程权限为“SeDebugPrivilege”，遍历进程及其线程查找“DrvAnti.exe”，如果找到使用TerminateThread强制关闭驱动防火墙 DrvAnti.exe主线程，查找所释放模块“dat*.tmp”资源名为“66”的资源，该资源为一个驱动文件，读取后将其释放到%temp%目录下命名为“dat#.tmp”；调用ZwQuerySystemInformation查询系统模块信息检索“classpnp.sys”、“stpdrive.sys”、“ntfs.sys”、“ntkrpamp.exe”、“fastfat.sys”、“ntoskrnl.exe”、“NTKRNLPA.exe”、“atapi.sys”、“ntkrpamp.exe”、“ntkrnlmp.exe”并确认以上模块映像是否存在，判断系统硬件环境以及文件系统环境。
动作三：
将%SystemRoot%\system32\drivers目录下的“beep.sys”拷贝到“%SystemRoot%\system32\dllcache”目录下，之后将“beep”服务停止，拷贝木马所释放的驱动文件“dat#.tmp”覆盖%SystemRoot%\system32\drivers目录下的“beep.sys”，调用API函数StartServiceA再次启动服务。
动作四：
获取系统目录分别查找系统文件services.exe、cdfview.dll，打开物理磁盘“\Device\Harddisk0\DR0”，读取文件检测自身是否遭到感染，如果未感染获取其物理扇区地址，通过驱动解除还原软件：“\\Driver\\DeepFrz（冰点）”、“\\Driver\\snpshot（影子系统）”、“\\Driver\\YzIdiot（还原精灵）”、“\\Driver\\newarch（未知设备）”的Object Hook，创建文件映射到内存中将以上两文件感染，被感染文件分析见下文，感染之后恢复Object Hook，达到突破还原的目的。
动作五：
把病毒当前执行路径保存到注册表中。
项：HKLM\software\microsoft\windows\currentversion\explorer\desktop\
健值：sysfile
指向数据：病毒当前执行路径
动作六：
提升自身进程权限为“SeDebugPrivilege”，遍历进程查找Winlogon.exe。找到后进行注入，如果注入成功则使注入的代码被执行后载入病毒所释放的动态链接库文件，再次执行以上动作，否则遍历进程查找explorer.exe，找到后进行注入，并执行动态链接库文件，再次执行以上动作。
动作七：
读取下载列表http://g.jt**.com/ms.txt下载多种盗号木马到本地执行。
被感染的Services.exe分析：
小提示：Services.exe为Windows核心进程，系统服务管理器进程，在系统登陆前由Winlogon.exe进程加载，用于加载并初始化Win32环境下的服务程序，并负责服务管理及其调用。无论是杀毒软件还是主动防御的主服务进程都是由次此文件进行初始化的，一旦此文件被恶意感染或修改就会抢先于杀毒软件或主动防御软件启动，所以有效的防范此类病毒才可以使系统更安全。
被感染的Services.exe导入表中添加一个函数“HttpUddUrl”，文件大小不变。当该文件被Winlogon.exe启动后，会调用被病毒所修改“cdfview.dll”中的“HttpUddUrl”函数。
被感染的cdfview.dll分析：
该文件是被病毒以首字节覆盖的方式感染的，感染文件大小不变，但正常系统功能调用已经被破坏。完成功能同病毒释放的动态链接库文件，经过Upack加壳方式压缩，共导出三条函数“HttpAddUrl”、“InitHttp”、“ReadHttp”：
HttpAddUrl功能同主体文件分析“动作二”开始执行
InitHttp功能同主体文件分析“动作六”开始执行
ReadHttp功能同主体文件分析“动作五”开始执行
样本主程序分析
动作一：
该样本程序被执行后，查找自身资源名为“65”的资源，该资源为一个动态链接库文件，读取后将其释放到%temp%目录下命名为“dat*.tmp”并加载到自身进程空间。
动作二：
提升自身进程权限为“SeDebugPrivilege”，遍历进程及其线程查找“DrvAnti.exe”，如果找到使用TerminateThread强制关闭驱动防火墙 DrvAnti.exe主线程，查找所释放模块“dat*.tmp”资源名为“66”的资源，该资源为一个驱动文件，读取后将其释放到%temp%目录下命名为“dat#.tmp”；调用ZwQuerySystemInformation查询系统模块信息检索“classpnp.sys”、“stpdrive.sys”、“ntfs.sys”、“ntkrpamp.exe”、“fastfat.sys”、“ntoskrnl.exe”、“NTKRNLPA.exe”、“atapi.sys”、“ntkrpamp.exe”、“ntkrnlmp.exe”并确认以上模块映像是否存在，判断系统硬件环境以及文件系统环境。
动作三：
将%SystemRoot%\system32\drivers目录下的“beep.sys”拷贝到“%SystemRoot%\system32\dllcache”目录下，之后将“beep”服务停止，拷贝木马所释放的驱动文件“dat#.tmp”覆盖%SystemRoot%\system32\drivers目录下的“beep.sys”，调用API函数StartServiceA再次启动服务。
动作四：
获取系统目录分别查找系统文件services.exe、cdfview.dll，打开物理磁盘“\Device\Harddisk0\DR0”，读取文件检测自身是否遭到感染，如果未感染获取其物理扇区地址，通过驱动解除还原软件：“\\Driver\\DeepFrz（冰点）”、“\\Driver\\snpshot（影子系统）”、“\\Driver\\YzIdiot（还原精灵）”、“\\Driver\\newarch（未知设备）”的Object Hook，创建文件映射到内存中将以上两文件感染，被感染文件分析见下文，感染之后恢复Object Hook，达到突破还原的目的。
动作五：
把病毒当前执行路径保存到注册表中。
项：HKLM\software\microsoft\windows\currentversion\explorer\desktop\
健值：sysfile
指向数据：病毒当前执行路径
动作六：
提升自身进程权限为“SeDebugPrivilege”，遍历进程查找Winlogon.exe。找到后进行注入，如果注入成功则使注入的代码被执行后载入病毒所释放的动态链接库文件，再次执行以上动作，否则遍历进程查找explorer.exe，找到后进行注入，并执行动态链接库文件，再次执行以上动作。
动作七：
读取下载列表http://g.jt**.com/ms.txt下载多种盗号木马到本地执行。
被感染的Services.exe分析：
小提示：Services.exe为Windows核心进程，系统服务管理器进程，在系统登陆前由Winlogon.exe进程加载，用于加载并初始化Win32环境下的服务程序，并负责服务管理及其调用。无论是杀毒软件还是主动防御的主服务进程都是由次此文件进行初始化的，一旦此文件被恶意感染或修改就会抢先于杀毒软件或主动防御软件启动，所以有效的防范此类病毒才可以使系统更安全。
被感染的Services.exe导入表中添加一个函数“HttpUddUrl”，文件大小不变。当该文件被Winlogon.exe启动后，会调用被病毒所修改“cdfview.dll”中的“HttpUddUrl”函数。
被感染的cdfview.dll分析：
该文件是被病毒以首字节覆盖的方式感染的，感染文件大小不变，但正常系统功能调用已经被破坏。完成功能同病毒释放的动态链接库文件，经过Upack加壳方式压缩，共导出三条函数“HttpAddUrl”、“InitHttp”、“ReadHttp”：
HttpAddUrl功能同主体文件分析“动作二”开始执行
InitHttp功能同主体文件分析“动作六”开始执行
ReadHttp功能同主体文件分析“动作五”开始执行
