黑客木马程序“伪装暴力下载器”病毒分析

Win32.TrojDownloader.FraudLoad.66048，这是一个黑客木马程序。该木马会降低系统安全设置，关闭防火墙，使得黑客可以很容易地入侵用户的计算机。它还会窃取用户系统中的密码和个人数据，并下载其它木马。
uQ(}B
gx'V0
F?2r E)z!Q;o0病毒名称:Win32.TrojDownloader.FraudLoad.66048
*z?.U
E
@D2e)c0
,OB;c-d0lP.FP,n0中文名称:伪装暴力下载器66048IXPUB技术博客
r S(m1|q3ZY

`s8[u%Q,V1b{1s0威胁级别:★★☆☆☆
^[B$eIiob0IXPUB技术博客|3Y_;G;Nn(T
病毒类型:黑客程序IXPUB技术博客2do[4t|7v0pu7k
IXPUB技术博客9]fJ6sTr7j
病毒长度:66048字节
?G'{u3RtF og0
5h igl:S6od xc0影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003IXPUB技术博客1X"^sxB$Q"_`

,H3C7Q.G e2XN:Y\0病毒行为:IXPUB技术博客,v(U1K&a|$Oo!w;x

d"T+C*^?k(~;I\'J9IB0这是一个黑客木马程序。该木马会降低系统安全设置，关闭防火墙，使得黑客可以很容易地入侵用户的计算机。它还会窃取用户系统中的密码和个人数据，并下载其它木马。IXPUB技术博客#G#F;ZLy

]%}7Y#d RVx01.释放病毒
7u"O LqD&W*Z%q0IXPUB技术博客,n0zB(F"a-l \3x6b
%Local Settings%\Temporary Internet Files\Content.IE5\C4DGV5NI\goggle[1].htmIXPUB技术博客R+qU;F)\
IXPUB技术博客8jQ+POAE;}v!N
%WINDOWS%\braviax.exe
%RPJ4w$oq0
` ^5N[Qm`-S0%WINDOWS%\cru629.datIXPUB技术博客7K,k2W fXnk Od._
IXPUB技术博客$?r(QE7vc
%system32%\braviax.exeIXPUB技术博客)_'vses.sK
IXPUB技术博客5M ~y9yZ)eYU
%system32%\cru629.dat
MAX
u `-r/?CN0

a HA?Fq5u,P5[];E0%system32%\univrs32.datIXPUB技术博客O)P Fp`/uo,r/h

1wEY0]4jw1O0%system32%\winivstr.exe
r!j
~/F'cB"A0
^(x }Ne;z?'h0生成在wincmd.ini文件中添加：IXPUB技术博客{TQ.x X @

)\k;Gw{0firstmnu=3513IXPUB技术博客z&x2_k5wtP3K

rI:c0Mj t,D ]2@0[lefttabs]
x:u*[AMx6G0IXPUB技术博客eJ:nZ9yb{
0_path=c:\WorkTools\
2C/w0jj2^&@0
r VN4Kp;z?00_options=1|0|0|0|0|1|0IXPUB技术博客3LoV;hjS

'HI8xH3t/e _0activetab=1
:r_(W(O"x^0IXPUB技术博客:CZ9G%k|+i4UY6B.Z
[righttabs]
XrdZ+hk$mC0IXPUB技术博客{^+o:U6k)s
0_path=c:\WorkTools\OllyICE\IXPUB技术博客/n/@}!seHI5n,m,Ag

r8Q/u0@}2g00_options=1|0|0|0|0|0|0
5jj0rg%eR7L/Mqw0
q#MB@ ]g0activetab=0
2c#?+O#X"^"|5nq0
,yS!yb
af-R8~I0activelocked=1
7w#{-ZSh9tXJ0IXPUB技术博客4y)^qi$X9_Z

lu@#u%^;M MA,Oc0
U#D'qv I0IXPUB技术博客Bj c#V0{C
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
Pm+`
NU^v2B0
tyR*cGI0Search Bar "http://www.google.com/ie"
?"C4I+~.`*a+a0
!P/fZ{ Y%R0HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
GRl4d.l!O'X0
a F3tJ#Tg\ I&m0braviax "C:\WINDOWS\system32\braviax.exe"
D+Y/s-m5v}"Q1YC0IXPUB技术博客6q OX7~RlM.L0}
3.修改注册表项IXPUB技术博客e\8X4b~)BOJ

v;meU Cz7J6E
FF.z0HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\"EnableBrowserExtensions"IXPUB技术博客5L4St!L"KA
\e
IXPUB技术博客;y:~0VW&L'Q0Z;UQ
= "yes"IXPUB技术博客-\h4v%]~8_w.Kx@W
IXPUB技术博客;K]&FJk6\*}
HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\"SearchBar"IXPUB技术博客Z$V,H/}\ q

R-Yk0^$H-bs0= "http://www.google.ie"
^iUo.n\8w mp pi0
ygb%cf2Oepe-n)[0HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\"SearchPage"
5z:_:wq/w:k/hY0IXPUB技术博客'T5v6Ee[!p1h
= "http://www.google.com"
m(W-_2f3A6S(m)c0IXPUB技术博客o] UpL A#c2F&H
HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\"StartPage"
??z8EyG0
9~7e:~6Att)`0= "http://www.google.com"
1K2V,d"ps_0jS0IXPUB技术博客8E5hB0?.A7G
HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main\"Default_Search_URL"IXPUB技术博客-F.g,iU M(g/h1~!N

-u"Z2a9qgg"zq&w"H0= "http://www.google.ie"
[N,MCI/~+C2h0IXPUB技术博客P6_:M9b0y-kvX8@
HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main\"SearchPage"IXPUB技术博客HmW;W1G*sXU

~zCL7J-{])Wil0= "http://www.google.com"IXPUB技术博客2{EO4cNH2a:T

F'O,G+XP eQ0HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Main\"StartPage"
svV3il
z$tma0
r!E4u,XyhM(G0= "http://www.google.com"IXPUB技术博客r
d }4I9c:k
IXPUB技术博客+LMo8T2gS/RT
HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorer\Search\"SearchAssistant"
fD2|3\(Y%P%V0IXPUB技术博客
~B[!l%dN"UV-W{
= "http://www.google.com"
"c"u6O k zF0
I$UR%g-qG0修改以下注册表项，减低系统安全设置IXPUB技术博客:R/za7x%i e7l
IXPUB技术博客`h ?AO$keC
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCenter\"AntiVirusDisableNotify"
*m0A\"N:M0f+[0
z7q;v-}O4FW^0= "01000000"IXPUB技术博客Os2`6V E'z
IXPUB技术博客N*l!t#o!Sf
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCenter\"FirewallDisableNotify"
p#q8Ja7lL R(`v0IXPUB技术博客h1F kjd]-z d,D
<= "01000000"IXPUB技术博客 U i4F%QN _J
IXPUB技术博客n \_l7S+`m ~
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityCenter\"UpdatesDisableNotify"
4X8],_6\K;N+o0
} IA4@-Tx/H{l0= "01000000"IXPUB技术博客2C(r8K\6] dEw R7A
IXPUB技术博客*a-dT.A\
HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCenter\"AntiVirusDisableNotify"IXPUB技术博客{.lz;^y.TJ

.h-Et9|V/`0= "01000000"IXPUB技术博客 P^6WoH

JZ7XD6p8T0HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCenter\"FirewallDisableNotify"IXPUB技术博客;{Y7nd%m;Fk!Bal

-phg&t3h"K%g9A0= "01000000"
yy8{:N"K0
1PKtq2o,h0HKEY_CURRENT_USER\SOFTWARE\Microsoft\SecurityCenter\"UpdatesDisableNotify"IXPUB技术博客;k"U8_D:|r


e|1g*i[\%Y5d0= "01000000"
6Q9}7}9K4~0IXPUB技术博客(?I1oZ%N
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\
U:V'e{ s#w;a0
I nG*~
mi0Parameters\FirewallPoliIXPUB技术博客?5k(N.E5se}ky

/Nu{f\S0cy\Standa
:{m6G(nA@)G7r2p0IXPUB技术博客9Q0t.d(F!K+u3T
rdProfile\EnableFirewall" = "00000000"
+Y7X7BRRfo0IXPUB技术博客b[2B4uO$b^m%Ox
4.病毒注入到所有进程中并调用运行，保护病毒体不被复制、删除。
N5A8iCLC]4y.L#xk0IXPUB技术博客h$g.v!W$J-o yd$p
破坏多款防火墙程序，窃取被感染计算机IXPUB技术博客MN#D7m%n.Wz6^V

!H2~TPv8x5X0上用户的私密信息并发送给病毒作者，另外，可能会破坏用户计算机系统内的某些应用程序等。
-f T s(F#QRt0IXPUB技术博客*w-n4gCN,B l
V
5.从http://www.so****shier.com/me***ers/link[已删除],下载执行其他病毒。