病毒专杀：Trojan-Downloader.Win32.Delf.gzs

Simen.Resh@d

(作者：Greysign)

一、
病毒标签：

病毒名称：
Trojan-Downloader.Win32.Delf.gzs
病毒类型：
下载者

文件大小 :	15036 byte
文件类型 :	MS-DOS executable (EXE)
MD5 :	5fc707c46a8dfc1ca09a0ae9d1cc8675
SHA1 :	965d8dac86674c6f8eeff99067ae4f8f63334398

公开范围：
完全公开
危害等级： B
加壳类型： Upack V0.37 -> Dwing壳
命名对照：

金山毒霸

2007.6.20.249

2008.5.3

2008-05-03

Worm.AutoRuns.m.991232

1.134

二、
病毒描述：

该病毒为下载者，运行后连接网络下载其他病毒。
三、
行为分析：

释放文件（下载列表）：

C:\windows\system32\config.txt

Random:
1799*
Down:
http://w.117b.cn/down/01.exe
*
http://w.117b.cn/down/02.exe
*
http://w.117b.cn/down/03.exe
*
http://w.117b.cn/down/04.exe
*
http://w.117b.cn/down/05.exe
*
http://w.117b.cn/down/06.exe
*
http://w.117b.cn/down/07.exe
*
http://w.117b.cn/down/08.exe
*
http://w.117b.cn/down/09.exe
*
http://w.117b.cn/down/10.exe
*
http://w.117b.cn/down/11.exe
*
http://w.117b.cn/down/12.exe
*
http://w.117b.cn/down/13.exe
*
http://w.117b.cn/down/14.exe
*
http://w.117b.cn/down/15.exe
*
http://w.117b.cn/down/16.exe
*
http://w.117b.cn/down/17.exe
*
http://w.117b.cn/down/18.exe
*
http://w.117b.cn/down/19.exe
*
http://w.117b.cn/down/20.exe
*
http://w.117b.cn/down/21.exe
*
http://w.117b.cn/down/22.exe
*
http://w.117b.cn/down/23.exe
*
http://w.117b.cn/down/24.exe
*
http://w.117b.cn/down/25.exe
*
http://w.117b.cn/down/26.exe
*
http://w.117b.cn/down/27.exe
*
http://w.117b.cn/down/28.exe
*
http://w.117b.cn/down/29.exe
*
http://w.117b.cn/down/30.exe
*
http://w.117b.cn/net/are.exe
*
FlipWEB:
*
SendGet:
*
InfeWeb:
*
NetBiosInfe:
1*
HDInfe:
1*
InfeExe:
1*
RemovInfe:
1*
RemovableDrive:
1*
FixedDrive:
1*

下载列表里的病毒并运行。
释放：
autorun.inf，msdos.bat在每个盘的根目录下进行传播。

修改感染.exe .bat .htm .xml等文件。

释放驱动并启动服务：


HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\zzz "ImagePath"

Type: REG_EXPAND_SZ

Data: \??\c:\zzz.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\zzz "ImagePath"

Type: REG_EXPAND_SZ

Data: \??\c:\zzz.sys
.htm文件被感染后增加70字节。
EXE文件感染后增加15872字节。


解决办法：
使用卡巴修复感染文件。
删除：
autorun.inf，msdos.bat，c:\zzz.sys

删除启动项目：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\zzz "ImagePath"

Type: REG_EXPAND_SZ

Data: \??\c:\zzz.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\zzz "ImagePath"

Type: REG_EXPAND_SZ

Data: \??\c:\zzz.sys


注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%   = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
     %Windir%\       WINDODWS所在目录
%DriveLetter%\    逻辑驱动器根目录
%ProgramFiles%\    系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录

A级
大面积感染流行，并具有以下条件中的任意一个给网络造成严重压力、开有后门、反制AV技术。
B级
有一定的感染流行面积，或者有鲜明的技术特点值得进一步关注，或为既往A级蠕虫比较成熟的变种
C级
有少量感染流行，或虽然有一定感染流行面积，但是既往B级蠕虫变种。
D级
有极少量感染流行，但有一定潜在威胁。
E级
没有发现感染流行。

本拉登

这病毒看来本身威胁不大 ...

Simen.Resh@d

这分明是个 木马  -,-