警惕木马下载器Trojan-Downloader.Win32.Agent.qpv.gif---------- 红客中国安全网-红客网络改变世界,创造网络安全新纪元

HKC安全网软件公告

红客中国自主开发的红客网警系列软件将在10月隆重上市，敬请关注。（红客中国反入侵精灵将暂时停止下载）



	漏洞公告
	病毒公告
	安全聚焦
	技术文章

首页 > 安全资讯 > 病毒公告

警惕木马下载器Trojan-Downloader.Win32.Agent.qpv.gif

发布日期：2008-06-24 17:27:54 共阅7次

该病毒为下载者木马类，病毒运行后调用CreateMutexA函数创建互病毒斥量：__DL_CORE4GA_MUTEX__，目的防止多次运行，调用API获取系统文件夹路径，衍生病毒文件到%Windir%AppPatch目录下，重命名为Jview.dll与AcXtrnel.dll，并添加注册表启动项，创建rundll32.exe使该进程加载病毒DLL文件，连接网络下载大量恶意病毒文件到本地执行，经分析下载的大量病毒为盗号木马类，给用户清理造成及大的不便。

清除方案：
1. 使用安天防线2008可彻底清除此病毒(推荐)。

2. 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1）使用ATOOL“进程管理”找到rundll32.exe进程结束该进程
（2）强行删除病毒文件
1. %Windir%AppPatchJview.dll
2. %Windir%AppPatch AcXtrnel.dll
（3）删除病毒服务注册表项
1. [HKEY_LOCAL_MACHINESOFTWAREClassesCLSID
{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}InprocServer32]
新建键值: "@"
类型： REG_SZ
字符串： “C:WINDOWSAppPatchJview.dll”
描述: 添加注册表项，以达到随机启动的目的

2. [HKEY_LOCAL_MACHINESOFTWAREClassesCLSID
{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}InprocServer32]
新建键值: "ThreadingModel"
类型： REG_SZ
字符串： “Apartment”
描述: 注册CLSID值

3. [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionShellServiceObjectDelayLoad]
新建键值: "JavaView"
类型： REG_SZ
字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”