Trojan/win32.Agent.dbr[Rootkit]的行为分析-本地行为
Win32/Rootkit.Agent.NJQ\u7279\u6d1b\u4f0a\u6728\u9a6c\u4f60\u597d\u6211\u4e0a\u5468\u4e5f\u4e2d\u7279\u6d1b\u4f0a\u6728\u9a6c,\u4e0d\u77e5\u9053\u548c\u6211\u8c61\u4e0d\u8c61,\u9996\u5148\u9700\u8981\u8bf4\u660e\u7684\u8981\u662f\u6211\u7684\u91cd\u88c5\u7cfb\u7edf\u4ecd\u7136\u65e0\u6cd5\u6e05\u9664.(\u524d\u63d0\u662f\u6211\u4e0d\u60f3\u5168\u76d8\u683c\u5f0f\u5316.)\u53ef\u4ee5\u7ed9\u4f60\u53c2\u8003\u4e00\u4e0b\u6211\u7684\u5904\u7406\u529e\u6cd5.
1\u300b\u91cd\u88c5\u7cfb\u7edf\u5230C\u76d8\uff0c\u65ad\u5f00\u7f51\u7edc\u5f00\u673a\u5728\u6211\u7684\u7535\u8111--\u5c5e\u6027--\u5173\u95ed\u7cfb\u7edf\u8fd8\u539f\u3002
2\u300b\u91cd\u65b0\u542f\u52a8\u8fdb\u5165\u5e26\u7f51\u7edc\u7684\u5b89\u5168\u6a21\u5f0f\uff0c\u4e0b\u8f7d\u4f60\u7535\u8111\u539f\u6765\u6740\u8f6f\u4ee5\u5916\u7684\u6740\u6bd2\u8f6f\u4ef6\u5230C\u76d8\uff0c\uff08\u672c\u4eba\u8fd9\u91cc\u7528\u7684\u662fWindows\u6e05\u7406\u52a9\u624b\uff09
3\u300b\u91cd\u65b0\u542f\u52a8\u6b63\u5e38\u6a21\u5f0f\u5b89\u88c5\u4e0b\u8f7d\u7684\u6740\u8f6f\u5230C\u76d8\u3002\uff08\u8bb0\u5f97\u66f4\u65b0\u6570\u636e\u5e93\uff09
4\u300b\u91cd\u65b0\u542f\u52a8\u8fdb\u5165\u5b89\u5168\u6a21\u5f0f\u7528\u6740\u8f6f\u8fdb\u884c\u5168\u76d8\u626b\u63cf\uff0c\u626b\u63cf\u5230\u5168\u90e8\u5220\u9664\uff1b\u6e05\u9664\u5386\u53f2\u8bb0\u5f55\u548cCookies.
5\u300b\u91cd\u65b0\u542f\u52a8\u5b89\u88c5360\u6253\u5168\u8865\u4e01\uff0c\u6700\u597d\u518d\u626b\u63cf\u4e00\u6b21\u3002
6\u300b\u91cd\u65b0\u542f\u52a8\u6253\u5f00\u6ce8\u518c\u8868\u4f9d\u6b21\u6253\u5f00HKEY-LOCAL-MACHINE/Software/Microsoft/Windows/run\uff0c\u91cc\u9762\u8981\u662f\u627e\u5230Agent\u540d\u5168\u90e8\u5220\u9664\u3002
7\u300b\u91cd\u65b0\u542f\u52a8\u6062\u590d\u7cfb\u7edf\u8fd8\u539f\u518d\u7528\u6740\u8f6f\u626b\u63cf\u4f60\u5c31\u53d1\u73b0\u4f60\u7684\u7535\u8111\u53c8\u662f\u4e00\u7247\u5e72\u51c0\u7684\u571f\u5730\u4e86\u3002
8\u300b\u9700\u8981\u7279\u522b\u8bf4\u660e\u7684\u662f\u5728\u4ee5\u4e0a\u7b2c5\u6b65\u4e4b\u524d\u4e0d\u8981\u78b0C\u76d8\u4ee5\u5916\u76d8\u7684\u4e1c\u897f\u3002
\u7531\u4e8e\u672c\u4eba\u8868\u8fbe\u80fd\u529b\u6709\u9650\uff0c\u6240\u4ee5\u8981\u662f\u89c9\u5f97\u4ee5\u4e0a\u6709\u8868\u8ff0\u4e0d\u6e05\u7684\u5730\u65b9\u8bf7\u8c05\u89e3\uff0c\u5982\u6709\u9700\u8981\u53ef\u4ee5\u8054\u7cfb\u672c\u4ebaQQ119263819\u3002\u6700\u540e\u5e0c\u671b\u4ee5\u4e0a\u64cd\u4f5c\u80fd\u5e2e\u5230\u4f60\u3002
\u91cd\u65b0\u542f\u52a8\uff0c\u5f00\u673aF8\u8fdb\u5165\u5b89\u5168\u6a21\u5f0f\uff0c\u542f\u52a8NOD\u5168\u76d8\u626b\u6bd2\uff0c\u5b8c\u6210\u540e\u5728\u62ff360\u5168\u76d8\u626b\u6728\u9a6c\uff0c\u6210\u529f\u540e\uff0c\u5728\u91cd\u590d\u4e00\u6b21\uff0c\u4e0d\u505c\u5f39\u7684\u539f\u56e0\u662f\u6bcd\u75c5\u6bd2\u4e0d\u65ad\u590d\u5236\u800c\u6ca1\u6709\u88ab\u67e5\u6740\uff0c\u5b89\u5168\u6a21\u5f0f\u4e0b\u5e94\u8be5\u53ef\u4ee5\u67e5\u6740
1、动态加载系统DLL文件msvcrt.dll，该DLL是标准的微软C运行库文件，创建线程、遍历进程查找avp.exe找到之后退出线程，如没发现avp.exe进程则提升进程操作权限。
2、文件运行后会释放以下文件
%System32%\drivers\etc\hosts 删除本地hosts文件，并重新释放劫持大量域名
%System32%\drivers\kvsys.sys 该驱动文件恢复SSDT躲避部分安全软件主动防御
%System32%\driversesafe.sys 该驱动文件删除部分安全软件服务结束部分安全软件进程
%Windir%\Fonts\System32.exe
%Documents and Settings%\当前所在用户\Local Settings\Temp\fsrtdfyyvuu.exe
3、添加注册表
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Servicesesafe\DisplayName
值: 字符串: 腾讯驱动
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Servicesesafe\ImagePath
值: 字符串: \??\%System32%\driversesafe.sys.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Servicesesafe\Start
值: DWORD: 3 (0x3)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Servicesesafe\Type
值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kvsys\DisplayName
值: 字符串: windows启动必须的系统文件
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kvsys\ImagePath
值: 字符串: \??\%System32%\drivers\kvsys.sys.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kvsys\Start
值: DWORD: 3 (0x3)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kvsys\Type
值: DWORD: 1 (0x1)
描述：添加病毒注册表服务
4、删除部分安全软件服务、终止部分安全软件进程、恢复SSDT躲避杀软主动查杀，创建病毒驱动设备名为：\\.\kvsys、\\.esafe，删除本地hosts文件、并重新创建一个hosts文件，劫持大量域名地址，获取磁盘启动器类型，遍历目录查找所有后缀是EXE的目录并却是非系统盘的可执行文件中释放大量usp10.dll文件，被劫持的域名有：
127.0.0.** c0mo**.com
127.0.0.** gxgxy**.net
127.0.0.** 444.gmwo07**.com
127.0.0.** 333.gmwo07**.com
127.0.0.** 222.gmwo07**.com
127.0.0.** 111.gmwo07**.com
127.0.0.** haha.yaoyao09**.com
127.0.0.** www.noseqing**.cn
127.0.0.** fg.pvs360**.com
127.0.0.** cw.pvs360**.com
127.0.0.** ta.pvs360**.com
127.0.0.** dl.pvs360**.com
127.0.0.** ok .sl8cjs**.cn
127.0.0.** nc.mskess**.com
127.0.0.** idc.windowsupdeta**.cn
127.0.0.** pvs360**.com
127.0.0.** sl8cjs**.cn
127.0.0.** windowsupdeta**.cn
127.0.0.** up.22x44**.com
127.0.0.** my.531jx**.cn
127.0.0.** nx.51ylb**.cn
127.0.0.** llboss**.com
127.0.0.** down.malasc**.cn
127.0.0.** d2.llsging**.com
127.0.0.** 171817.171817**.com
127.0.0.** wg.47255**.com
127.0.0.** www.tomwg**.com
127.0.0.** tp.shpzhan**.cn
127.0.0.** 1.joppnqq**.com
127.0.0.** xx.exiao01**.com
127.0.0.** www.22aaa**.com
127.0.0.** ilove**.com
127.0.0.** xxx.mmma**.biz
127.0.0.** www.868wg**.com
127.0.0.** 2.joppnqq**.com
127.0.0.** 1.jopanqc**.com
127.0.0.** yu.8s7**.net
127.0.0.** 1.jopmmqq**.com
127.0.0.** cao.kv8**.info
127.0.0.** xtx.kv8**.info
127.0.0.** new.749571**.com
127.0.0.** xxx.vh7**.biz
127.0.0.** 1.jopenkk**.com
127.0.0.** d.93se**.com
127.0.0.** 3.joppnqq**.com
127.0.0.** xxx.j41m**.com
127.0.0.** 1.jopenqc**.com
127.0.0.** xxx.m111**.biz
127.0.0.** down.18dd**.net
127.0.0.** www.333292**.com
127.0.0.** qqq.hao1658**.com
127.0.0.** qqq.dzydhx**.com
127.0.0.** www.exiao01**.com
127.0.0.** www.cike007**.cn
127.0.0.** v.onondown**.com. cn
127.0.0.** ymsdasdw1**.cn
127.0.0.** h96b**.info
127.0.0.** fuck.zttwp**.cn
127.0.0.** www.hackerbf**.cn
127.0.0.** geekbyfeng**.cn
127.0.0.** 121.14.101.**
127.0.0.** ppp.etimes888**.com
127.0.0.** www.bypk**.com
127.0.0.** CSC3-2004-crl.verisign**.com
127.0.0.** va9sdhun23**.cn
127.0.0.** udp.hjob123**.com
127.0.0.** bnasnd83nd**.cn
127.0.0.** www.gamehacker**.com .cn
127.0.0.** gamehacker**.com. cn
127.0.0.** adlaji**.cn
127.0.0.** 858656**.com
127.1.1.1 bnasnd83nd**.cn
127.0.0.** my123**.com
127.0.0.** user1.12-27**.net
127.0.0.** 8749**.com
127.0.0.** fengent**.cn
127.0.0.** 4199**.com
127.0.0.** user1.16-22**.net
127.0.0.** 7379**.com
127.0.0.** 2be37c5f.3f6e2cc5f0b**.com
127.0.0.** 7255**.com
127.0.0.** user1.23-12**.net
127.0.0.** 3448**.com
127.0.0.** www.guccia**.net
127.0.0.** 7939**.com
127.0.0.** a.o1o1o1**.nEt
127.0.0.** 8009**.com
127.0.0.** user1.12-73**.cn
127.0.0.** piaoxue**.com
127.0.0.** 3n8nlasd**.cn
127.0.0.** kzdh**.com
127.0.0.** www.sony888**.cn
127.0.0.** about.blank**.la
127.0.0.** user1.asp-33**.cn
127.0.0.** 6781**.com
127.0.0.** www.netkwek**.cn
127.0.0.** 7322**.com
127.0.0.** ymsdkad6**.cn
127.0.0.** localhost**
127.0.0.** www.lkwueir**.cn
127.0.0.** 06.jacai**.com
127.0.1.** user1.23-17**.net
127.0.0.** 1.jopenkk**.com
127.0.0.** upa.luzhiai**.net
127.0.0.** 1.jopenqc**.com
127.0.0.** www.guccia**.net
127.0.0.** 1.joppnqq**.com
127.0.0.** 4m9mnlmi**.cn
127.0.0.** 1.xqhgm**.com
127.0.0.** mm119mkssd**.cn
127.0.0.** 100.332233**.com
127.0.0.** 61.128.171.***:8080
127.0.0.** 121.11.90. **
127.0.0.** www.1119111**.com
127.0.0.** 121565**.net
127.0.0.** win.nihao69**.cn
127.0.0.** 125.90.88. **
127.0.0.** 16888.6to23**.com
127.0.0.** 2.joppnqq**.com
127.0.0.** puc.lianxiac. **net
127.0.0.** 204.177.92.**
127.0.0.** pud.lianxiac**.net
127.0.0.** 210.74.145.***
127.0.0.** 210.76.0.***
127.0.0.** 219.129.239.***
127.0.0.** 61.166.32. **
127.0.0.** 219.153.40.***
127.0.0.** 218.92.186. **
127.0.0.** 219.153.46. **
127.0.0.** www.fsfsfag**.cn
127.0.0.** 219.153.52. ***
127.0.0.** ovo.ovovov**.cn
127.0.0.** 221.195.42. **
127.0.0.** dw**.com. com
127.0.0.** 222.73.218.***
127.0.0.** 203.110.168.***:80
127.0.0.** 3.joppnqq**.com
127.0.0.** 203.110.168.***:80
127.0.0.** 363xx**.com
127.0.0.** www1.ip10086**.com. cm
127.0.0.** 4199**.com
127.0.0.** blog.ip10086**.com. cn
127.0.0.** 43242**.com
127.0.0.** www.ccji68**.cn
127.0.0.** 5.xqhgm**.com
127.0.0.** t.myblank**.cn
127.0.0.** 520. mm5208**.com
127.0.0.** x.myblank**.cn
127.0.0.** 59.34.131. **
127.0.0.** 210.51.45. **
127.0.0.** 59.34.198. ***
127.0.0.** www.ew1q**.cn
127.0.0.** 59.34.198. **
127.0.0.** 59.34.198. **
127.0.0.** 60.190.114. ***
127.0.0.** 60.190.218. **
127.0.0.** qq-xing**.com. cn
127.0.0.** 60.191.124.***
127.0.0.** 61.145.117. ***
127.0.0.** 61.157.109. ***
127.0.0.** 75.126.3. ***
127.0.0.** 75.126.3. ***
127.0.0.** 75.126.3. ***
127.0.0.** 59.125.231. ***:17777
127.0.0.** 75.126.3. ***
127.0.0.** 75.126.3. ***
127.0.0.** 75.126.3. ***
127.0.0.** 772630**.com
127.0.0.** 832823**.cn
127.0.0.** 8749**.com
127.0.0.** 888.jopenqc**.com
127.0.0.** 89382**.cn
127.0.0.** 8v8**.biz
127.0.0.** 97725**.com
127.0.0.** 9gg**.biz
127.0.0.** www.9000music**.com
127.0.0.** test.591jx**.com
127.0.0.** a.topxxxx**.cn
127.0.0.** picon.chinaren**.com
127.0.0.** www.5566**.net
127.0.0.** p.qqkx**.com
127.0.0.** news.netandtv**.com
127.0.0.** z.neter888**.cn
127.0.0.** b.myblank**.cn
127.0.0.** wvw.wokutu**.com
127.0.0.** unionch.qyule**.com
127.0.0.** www.qyule**.com
127.0.0.** it.itjc**.cn
127.0.0.** www.linkwww**.com
127.0.0.** vod.kaicn**.com
127.0.0.** www.tx8688**.com
127.0.0.** b.neter888**.cn
127.0.0.** promote.huanqiu**.com
127.0.0.** www.huanqiu**.com
127.0.0.** www.haokanla**.com
127.0.0.** play.unionsky**.cn
127.0.0.** www.52v**.com
127.0.0.** www.gghka**.cn
127.0.0.** icon.ajiang**.net
127.0.0.** new.ete**.cn
127.0.0.** www.stiae**.cn
127.0.0.** o.neter888**.cn
127.0.0.** comm.jinti**.com
127.0.0.** www.google-analytics**.com
127.0.0.** hz.mmstat**.com
127.0.0.** www.game175**.cn
127.0.0.** x.neter888**.cn
127.0.0.** z.neter888**.cn
127.0.0.** p.etimes888**.com
127.0.0.** hx.etimes888**.com
127.0.0.** abc.qqkx**.com
127.0.0.** dm.popdm**.cn
127.0.0.** www.yl9999**.com
127.0.0.** www.dajiadoushe**.cn
127.0.0.** v.onondown**.com. cn
127.0.0.** www.interoo**.net
127.0.0.** bally1.bally-bally**.net
127.0.0.** www.bao5605509**.cn
127.0.0.** www.rty456**.cn
127.0.0.** www.werqwer**.cn
127.0.0.** 1.360-1**.cn
127.0.0.** user1.23-16**.net
127.0.0.** www.guccia**.net
127.0.0.** www.interoo**.net
127.0.0.** upa.netsool**.net
127.0.0.** js.users.51**.la
127.0.0.** vip2.51**.la
127.0.0.** web.51**.la
127.0.0.** qq.gong2008**.com
127.0.0.** 2008tl.copyip**.com
127.0.0.** tla.laozihuolaile**.cn
127.0.0.** www.tx6868**.cn
127.0.0.** p001.tiloaiai**.com
127.0.0.** s1. tl8tl**.com
127.0.0.** s1.gong2008**.com
127.0.0.** 4b3ce56f9g.3f6e2cc5f0b**.com
127.0.0.** 2be37c5f.3f6e2cc5f0b**.com
#360
127.0.0.** 59.53.87.101
127.0.0.** 125.46.1.226
127.0.0.** www.360. cn
127.0.0.** www.360safe. com
127.0.0.** sd.360. cn
127.0.0.** bbs.360safe. com
5、获取磁盘启动器类型，遍历目录查找所有后缀是EXE的目录并却是非系统盘的可执行文件中释放大量usp10.dll文件，终止部分安全软件进程，如发现进程中存在以下进程则调用内核函数强行终止其进程：
360Tray.exe、360Safe.exe、safeboxTray.exe、360realpro.exe、360upp.exe、RavMonD.exe、CCenter.exe、Ravtask.exe、rsnetsvr.exe、rsTray.exe、kissvc.exe、kwatch.exe、kpfwsvc.exe、
kavstart.exe、kmailmon.exe、kpfw32.exe、kasmain.exe、ksamain.exe、kaccore.exe、egui.exe、ekrn.exe、mainpro.exe、annexpro.exe、KVSrvXP.exe、KVSysCheck.exe、KVMonXP.kxp、KVPreScan.kxp
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是%WINDOWS%\System
windowsXP中默认的安装路径是%system32%
绛旓細Trojan鏄竴绉嶆伓鎰忚蒋浠讹紝涔熺О涓衡鏈ㄩ┈鐥呮瘨鈥濓紝瀹冮氬父闅愯棌鍦ㄧ湅浼煎悎娉曠殑杞欢涓紝娆洪獥鐢ㄦ埛涓嬭浇鍜屽畨瑁呫備竴鏃︽劅鏌擄紝Trojan浼氬湪鐢ㄦ埛涓嶇煡鎯呯殑鎯呭喌涓嬶紝绐冨彇銆佺鏀规垨鑰呭垹闄よ绠楁満閲岀殑鏁版嵁銆傝繖浜涙暟鎹彲鑳藉寘鎷釜浜洪殣绉佷俊鎭侀摱琛岃处鎴蜂俊鎭佺櫥闄嗗瘑鐮佺瓑鏁忔劅淇℃伅銆俆rojan鐨勭洰鐨勬槸閫氳繃绐冨彇鐢ㄦ埛鐨勪俊鎭紝鏉ヨ繘琛屽埄鐩婄殑鑾峰彇銆俆rojan鐨...
绛旓細鐢佃剳鏃犵紭鏃犳晠鏌ュ嚭Trojan锛堢壒娲涗紛鏈ㄩ┈锛夌梾姣掞紝杩欐槸涓涓潪甯镐弗閲嶇殑闂锛岄渶瑕佺珛鍗抽噰鍙栨帾鏂借В鍐炽俆rojan鐥呮瘨鏄竴绉嶆伓鎰忚蒋浠讹紝瀹冧細闅愯棌鍦ㄧ湅浼兼甯哥殑绋嬪簭鎴栨枃浠朵腑锛屼竴鏃︾敤鎴疯繍琛岃繖浜涚▼搴忔垨鎵撳紑杩欎簺鏂囦欢锛岀梾姣掑氨浼氭倓鎮勫湴鎰熸煋鐢佃剳绯荤粺銆俆rojan鐥呮瘨鍏锋湁闈炲父寮虹殑闅愯斀鎬у拰鐮村潖鎬э紝鍙互绐冨彇鐢ㄦ埛鐨勪釜浜轰俊鎭佺牬鍧忕郴缁熸枃浠躲佸崰...
绛旓細Trojan/Win32鏄壒娲涗紛寰蒋绯荤粺32浣鏈ㄩ┈鐥呮瘨锛屾槸涓绉嶅甫鏈塺ootkit鍔熻兘鐨勭壒娲涗紛鐥呮瘨锛岃兘澶熶慨鏀圭郴缁熺殑winlogon.exe鏂囦欢銆傞粦瀹㈢敤Trojan/Win32鏉ョ洍鍙栧叾浠栫敤鎴风殑涓汉淇℃伅锛岀敋鑷虫槸杩滅▼鎺у埗瀵规柟鐨勮绠楁満鑰屽姞澹冲埗浣滐紝鐒跺悗閫氳繃鍚勭鎵嬫浼犳挱鎴栬呴獥鍙栫洰鏍囩敤鎴锋墽琛岃绋嬪簭锛屼互杈惧埌鐩楀彇瀵嗙爜绛夊悇绉嶆暟鎹祫鏂欑瓑鐩殑銆備笌鐥呮瘨鐩镐技锛屾湪椹▼...
绛旓細trojan.generic鏄竴绉嶇壒娲涗紛鏈ㄩ┈鐥呮瘨銆傜壒娲涗紛鏈ㄩ┈锛Trojan锛夋槸涓绉嶈绠楁満绋嬪簭锛屽畠鐪嬭捣鏉ュ儚涓涓湁鐢ㄧ殑鎴栬呮棤瀹崇殑绋嬪簭锛屼絾瀹為檯涓婇殣钘忕潃鎭舵剰鍔熻兘銆傝繖绉嶇梾姣掑彲浠ラ氳繃鍚勭鏂瑰紡杩涘叆鐢ㄦ埛鐨勮绠楁満绯荤粺锛屼緥濡傞氳繃鐢靛瓙閭欢闄勪欢銆佷笅杞界殑鏂囦欢銆佹伓鎰忕綉绔欑瓑銆備竴鏃︾壒娲涗紛鏈ㄩ┈鐥呮瘨杩涘叆绯荤粺锛屽畠鍙互绐冨彇鐢ㄦ埛鐨勬晱鎰熶俊鎭紝濡傝处鍙峰瘑鐮併...
绛旓細Trojan鍗忚鏄氳繃TLS鍗忚(瀹夊叏浼犺緭灞傚崗璁)浼鎴愯闂瓾TTPS(瓒呮枃鏈紶杈撳崗璁)鐨勬甯告祦閲忥紝鍥犱负TLS鏄竴涓畬鏁寸殑鍔犲瘑鍗忚锛岄氳繃鐩墠鐨勪换浣曟妧鏈墜娈甸兘鏃犳硶寰楀埌鍏跺姞瀵嗗唴瀹癸紝鍥犳锛孴rojan鑺傜偣鐨勫畨鍏ㄦу緢楂樸俆rojan涓鑸寚鏈ㄩ┈鐥呮瘨锛屾槸璁＄畻鏈洪粦瀹㈢敤浜庤繙绋嬫帶鍒惰绠楁満鐨勭▼搴忥紝灏嗘帶鍒剁▼搴忓瘎鐢熶簬琚帶鍒剁殑璁＄畻鏈虹郴缁熶腑锛岄噷搴斿鍚...
绛旓細1銆佺紪绋嬭瑷涓嶅悓锛Trojan鏄熀浜嶤++缂栧啓鐨勶紝鑰孴rojan-go鏄熀浜嶨o璇█缂栧啓鐨勩2銆佽繍琛屾晥鐜囦笉鍚岋細Trojan-go鐩告瘮Trojan鏈夋洿蹇殑閫熷害鍜屾洿浣庣殑绯荤粺璧勬簮鍗犵敤鐜囷紝鍥犱负Go璇█缂栧啓鐨勭▼搴忓湪鎬ц兘涓婃瘮C++鏇翠紭绉銆3銆佷紶杈撳崗璁笉鍚岋細Trojan浣跨敤Socks5浠ｇ悊浼犺緭鍗忚锛岃孴rojan-go浣跨敤mKCP/UDP浼犺緭鍗忚锛岃繖鎰忓懗鐫Trojan-go...
绛旓細鐢佃剳涓簡trojan.generic鐥呮瘨鍚庯紝鍏跺嵄瀹充富瑕佽〃鐜板湪浠ヤ笅鍑犱釜鏂归潰锛氶鍏堬紝trojan.generic鐥呮瘨浼氶氳繃閲婃斁鐥呮瘨鏂囦欢锛屽鐢佃剳杩涜鐮村潖銆傝繖浜涚梾姣掓枃浠跺彲鑳戒細涓庢甯哥殑搴旂敤绋嬪簭鎹嗙粦鍦ㄤ竴璧凤紝浣垮緱鐢ㄦ埛鍦ㄨ繍琛屾甯哥▼搴忔椂锛岀梾姣掍篃鍦ㄥ悗鍙版倓鎮勮繍琛屻傝繖鏍凤紝鐥呮瘨灏卞彲浠ュ埄鐢ㄧ數鑴戣祫婧愯繘琛岄潪娉曟椿鍔紝濡傜獌鍙栫敤鎴蜂俊鎭佺牬鍧忕郴缁熸枃浠剁瓑銆傚叾娆...
绛旓細涓嬮潰鐢卞皬缂栫粰澶у浠嬬粛win7绯荤粺濡備綍褰诲簳娓呴櫎Trojan.Win32鐥呮瘨銆傝В鍐虫柟娉曪細1銆侀鍏堟槸鎷斾笅缃戠嚎锛屼互鍏嶇梾姣掑崌绾у拰鍙樼浼犺緭锛2銆佷娇鐢≒E绯荤粺鍚姩鍒犻櫎鎵鏈夌洏绗︿笅鐨勭梾姣掓枃浠跺autorun.inf锛3銆佷娇鐢≒E杩滅▼娉ㄥ唽琛ㄦ煡鐪嬪惎鍔ㄦ枃浠跺苟鍒犻櫎锛4銆佸惎鍔ㄥ悗浣跨敤sreng2鍒犻櫎鎺夊浣欑殑鍚姩椤瑰拰绋嬪簭锛5銆佹煡鎵惧嚭鍚姩鐨勭▼搴忓拰鏂囦欢鍒犻櫎濡傛灉...
绛旓細瑙ｆ瀽:鏄湪椹 鏈 Trojan.Dropper.Arar Trojan.Dropper.Arar.a Trojan.Dropper.Agent.b Trojan.Dropper.Arar.c Trojan.Dropper.Arar.d Trojan.Dropper.Arar.e WINDOWS涓嬬殑鏈ㄩ┈绋嬪簭 鍚姩鍚庝細浠庝綋鍐呰祫婧愰儴鍒嗛噴鏀惧嚭鐥呮瘨鏂囦欢锛屽苟涓旀樉绀轰竴涓秷鎭鈥淢SVCVB60.dll not foun鈥濈敤浠ヨ糠鎯戜腑姣掕 Trojan.Dropper.Blast...
绛旓細瑕佹潃鎺Trojan.Generic鏈ㄩ┈锛屽彲浠ラ噰鍙栦互涓嬫楠わ細棣栧厛锛岄噸鍚數鑴戝苟鎸変笅F8閿繘鍏ュ甫缃戠粶鐨勫畨鍏ㄦā寮忋傝繖鏄洜涓篢rojan.Generic鏈ㄩ┈鐥呮瘨浼氱牬鍧忔潃姣掕蒋浠跺拰闃茬伀澧欙紝鑰屽湪瀹夊叏妯″紡涓嬶紝璇ョ梾姣掓槸鏃犳硶杩愯鐨勩傝繖鏍峰彲浠ュ湪涓嶆縺娲荤梾姣掔殑鎯呭喌涓嬪绯荤粺杩涜娓呯悊銆傛帴涓嬫潵锛屽湪瀹夊叏妯″紡涓嬶紝璁块棶鐢佃剳绠″瀹樼綉骞朵笅杞戒竴涓數鑴戠瀹躲傜數鑴...
