机器狗、auto木马群、磁碟机大混血(AtiSrv.exe)

youba

本周一款融合机器狗、auto木马群、磁碟机特点的病毒大范围爆发。其主文件名为：AtiSrv.exe

该病毒会迫使杀毒软件失效，安全模式加载、下载大量盗号木马、劫持浏览器、写入rootkits驱动进行自保护....

该病毒简单特征分析：

释放自身到启动文件夹随机加载：
%ALLUSERSPROFILE%\「开始」菜单\程序\启动\AtiSrv.exe 如图所示：

写入执行挂钩：
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
   ffHADHAD1042.dll
HKCR\CLSID\{1133c611-c3b1-4626-bd63-6605ea0d3486}
c:\windows\system32\ffhadhad1042.dll
   Microsoft
HKCR\CLSID\{45AADFAA-DD36-42AB-83AD-0521BBF58C24}
c:\windows\system32\zjydcx.dll
   Microsoft
HKCR\CLSID\{6E6CA8A1-81BC-4707-A54C-F4903DD70BAD}
c:\windows\system32\zgxfdx.dll
   Microsoft
HKCR\CLSID\{1DB3C525-5271-46F7-887A-D4E1ADAA7632}
c:\windows\system32\hfrdzx.dll
   fJACJAC1041.dll
HKCR\CLSID\{6b22d384-97ba-4c43-81ab-a6bb24e9d831}
c:\windows\system32\fjacjac1041.dll
   fNNBNNB1032.dll
HKCR\CLSID\{a6f28a4f-afc8-430e-9093-25083eb3aa77}
c:\windows\system32\fnnbnnb1032.dll
   fSACSAC1016.dll
HKCR\CLSID\{f93de3de-bc82-4f9a-a3fc-e49c4fe9c38d}
c:\windows\system32\fsacsac1016.dll
   winsys8v.sys
HKCR\CLSID\{6167F471-EF2B-41DD-A5E5-C26ACDB5C096}
c:\program files\internet explorer\plugins\winsys8v.sys（该文件会同时写入BHO加载）

执行挂钩.PNG (30.75 KB)
2008-3-1 23:51
写入Appinit_dlls由于写入过多dll信息导致sreng无法检测到该项目。数据如下：
bauhgnem.dll,eohsom.dll,fyom.dll,sauhad.dll,ijougiemnaw.dll,taijoad.dll,lnaixnauhqq.dll,
idtj.dll,vhqq.dll,atgnehz.dll,rsqq.dll,tsqc.dll,vauyiqvlnaix.dll,wQ.dll,fmxh.dll,cty.dll,pahzij.dll,
jz.dll,bz.dll,pyomielnux.dll,mhtd.dll,qnefnaib.dll,ej.dll,uixauh.dll,hjiq.dll,kiluw.dll,dsfg.dll,yqhs.dll,
oaijihzeuyouhz.dll,jemnaw.dll,cuhad.dll,laixuhz.dll,rfhx.dll,mnauygniqaixnaij.dll,oqnauhc.dll,xjxr.dll,
utiemnaw.dll,sve.dll,wininat.dll,gnolnait.dll,zadnew.dll,htwx.dll,knaixnauhuoyizqq.dll,duygnef.dll,gmx.dll,
nadgnohiac.dll,agzg.dll,qlihzouhgnfe.dll,bchib.dll,tzm.dll,r2.dll,slcs.dll,xptyj.dll,xhtd.dll,QQ.dll,sfhx.dll,
gnaixnauhqq.dll,3auhad.dll,oadnew.dll,iemnaw.dll,qcsct.dll,oadgnohiac.dll,iqnauhc.dll,aixauh.dll,ddtj.dll,
nuygnef.dll,uohsom.dll,gnefnaib.dll,ijiq.dll,hjxr.dll,naijoad.dll,naixuhz.dll,nahzij.dll,fmxh.dll,zqhs.dll,jsfg.dll,
utgnehz.dll,uyom.dll,wtiemnaw.dll,uyomielnux.dll,vlihzouhgnfe.dll,2ty.dll,nauhgnem.dll,auhad.dll,rj.dll,hz.dll,
naijihzeuyouhz.dll,xhqq.dll,jmx.dll,dgzg.dll,gsqq.dll,fz.dll,gnaixnauhuoyizqq.dll,gnolnait.dll,jsqc.dll,dqncj.dll,
eve.dll,2nauygniqaixnaij.dll,niluw.dll,ijougiemnaw.dll,wtwx.dll,jghf.dll,msd.dll,asj.dll,her.dll,awf.dll,
目的是为了安全模式也能加载，导致用户修复安全模式无效。如图所示：

后台联网下载木马程序：
1=http://iii.u***u.com/wm/1.exe
2=http://iii.u***u.com/wm/2.exe
3=http://iii.u***u.com/wm/3.exe
4=http://iii.u***u.com/wm/4.exe
5=http://iii.u***u.com/wm/5.exe
6=http://iii.u***u.com/wm/6.exe
7=http://iii.u***u.com/wm/7.exe
8=http://iii.u***u.com/wm/8.exe
9=http://iii.u***u.com/wm/9.exe
10=http://iii.u***u.com/wm/10.exe
11=http://iii.u***u.com/wm/11.exe
12=http://iii.u***u.com/wm/12.exe
13=http://iii.u***u.com/wm/13.exe
14=http://iii.u***u.com/wm/14.exe
15=http://iii.u***u.com/wm/15.exe
16=http://iii.u***u.com/wm/16.exe
17=http://iii.u***u.com/wm/17.exe
18=http://iii.u***u.com/wm/18.exe
19=http://iii.u***u.com/wm/19.exe
20=http://iii.u***u.com/wm/20.exe
21=http://iii.u***u.com/wm/21.exe
22=http://iii.u***u.com/wm/22.exe
23=http://iii.u***u.com/wm/23.exe
24=http://iii.u***u.com/wm/24.exe
25=http://iii.u***u.com/wm/25.exe
26=http://iii.u***u.com/wm/26.exe
27=http://iii.u***u.com/wm/27.exe
28=http://iii.u***u.com/wm/28.exe
与auto木马群勾结，写入盗号木马：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <mhuslmqi><C:\WINDOWS\hsmijpow.exe>
    <AVPSrv><C:\WINDOWS\AVPSrv.exE>
    <upxdnd><C:\WINDOWS\upxdnd.exe>
    <Kvsc3><C:\WINDOWS\Kvsc3.exE>
    <DbgHlp32><C:\WINDOWS\DbgHlp32.exe>
    <SHAProc><C:\WINDOWS\SHAProc.exe>等
加载rootkits驱动进行自我保护：
[iCafe Manager / iCafe Manager][Stopped/Manual Start]
  <\??\C:\DOCUME~1\papa\LOCALS~1\Temp\usbhcid.sys>
[Sc Manager / Sc Manager][Running/Manual Start]
  <\??\C:\DOCUME~1\papa\LOCALS~1\Temp\usbcams3.sys>
[dohs / dohs][Stopped/Auto Start]
  <\??\C:\DOCUME~1\papa\LOCALS~1\Temp\tmp3.tmp>
[fpids32 / fpids32][Running/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\msosfpids32.sys>
[msertk / msertk][Running/Auto Start]
  <system32\drivers\msyecp.sys>
[msert / msert][Running/Auto Start]
  <system32\drivers\mselk.sys>
写入ntsd劫持与破坏安全模式，导致杀软失效，如图所示：

详细劫持文件列表请见： 劫持文件列表.txt (1.83 KB)
该病毒的处理方法：
该病毒融合了目前多种流行病毒木马技术，破坏杀毒程序导致普通用户很难进行清理操作。建议用户对该病毒以注意日常防范为主，保持毒霸病毒库更新以及良好健康的上网习惯。
对于已经中此病毒的用户可以尝试在正常模式运行使用附件中的脚本Del_AtiSrv.bat后重启进入安全模式。
进入安全模式后运行附件中的Clean_IFEO.bat清除映像劫持，并运行金山清理专家清理恶意软件即可。如图所示：

机器狗最新动态与变化：

我们先来欣赏一下新版机器狗的图标：

该变种机器狗同样修改userinit.exe 如图使用sigverif检测发现userinit.exe文件被修改：

释放进程
%systemroot%\system\SMSS.exe
%systemroot%\system\zfss.exe
写入随机加载服务
HKLM\System\CurrentControlSet\Services
   connect
C:\WINDOWS\system\SMSS.exe

修改系统时间到2000年1月1日

处理方案：
使用新版“机器狗/AV终结者”专杀（最新版为5.2）配合之前的机器狗映像劫持修复工具检测与修复。如图所示：



注意：由于该机器狗变种会联网下载多款盗号木马以及恶意软件，清理后请升级毒霸进行全面杀毒。
附件
Del_AtiSrv.rar (483 Bytes)  
Clean_IFEO.rar (546 Bytes)  
KF_AV_Killer.zip (388.66 KB)


该病毒的标准样本：

The EQs

C:\Documents and Settings\Don johnson\桌面\机器狗AUTO磁碟机.rar » RAR » 机器狗\病毒\AtiSrv.exe - Win32/TrojanDownloader.Agent.NWA trojan
C:\Documents and Settings\Don johnson\桌面\机器狗AUTO磁碟机.rar » RAR » 机器狗\病毒\baidu.exe - a variant of Win32/TrojanDownloader.Delf.OBY trojan
C:\Documents and Settings\Don johnson\桌面\机器狗AUTO磁碟机.rar » RAR » 机器狗\病毒\Display3D.exe - a variant of Win32/TrojanDownloader.Agent.NWE trojan

Starting the file scan:

Begin scan in 'E:\新建文件夹 (2)\机器狗AUTO磁碟机.rar'
E:\新建文件夹 (2)\机器狗AUTO磁碟机.rar
  [0] Archive type: RAR
发表帖子    --> ﾻￆ?ﾹﾷ\ﾲﾡﾶﾾ\AtiSrv.exe
          [DETECTION] Contains detection pattern of the rootkit RKIT/HideProcess.B
[完成后可按 Ctr    --> ﾻￆ?ﾹﾷ\ﾲﾡﾶﾾ\baidu.exe
      --> Object
        [2] Archive type: RSRC
        --> Object
            [DETECTION] Is the Trojan horse TR/Dldr.Delf.epw.1
l+Enter 发布    --> ﾻￆ?ﾹﾷ\ﾲﾡﾶﾾ\Display3D.exe
          [DETECTION] Contains detection pattern of the rootkit RKIT/HideProcess.B
      [NOTE]      The file was deleted!

hellobaby

巡警用了极短的时候就查出三个。

gaojun7206

Virus: Trojan-PSW.Win32.OnLineGames.sbg, Trojan-Downloader.Win32.Delf.epw, Trojan-PSW.Win32.OnLineGames.rxpi

mofunzone

总觉得奇怪，这病毒干的坏事不少，免杀却越来越差。。

Palkia

瑞星病毒查杀结果报告

清除病毒种类列表：
病毒： Trojan.Win32.Undef.dkp   
病毒： Trojan.DL.Win32.Direct.me
病毒： Trojan.DL.Win32.Mnless.zbh

MAC 地址：00:17:31:40:A3:57

用户来源：局域网

软件版本：20.40.20

aerbeisi

[Found possible security risk]         <W32/Heuristic-114!Eldorado (damaged, not disinfectable)>        C:\test\机器狗AUTO磁碟机.rar->机器狗\病毒\AtiSrv.exe->(UPack)
[Found downloader]         <W32/Banload.B.gen!Eldorado (not disinfectable, generic)>        C:\test\机器狗AUTO磁碟机.rar->机器狗\病毒\baidu.exe
[Found possible security risk]         <W32/Heuristic-114!Eldorado (damaged, not disinfectable)>        C:\test\机器狗AUTO磁碟机.rar->机器狗\病毒\Display3D.exe->(UPack)
[Contains infected objects]        C:\test\机器狗AUTO磁碟机.rar

sharkkong

需要下载扫描吗？监控是做什么的？
已检测到: 木马程序 Trojan-PSW.Win32.OnLineGames.sbg        URL: http://bbs.kafan.cn/attachment.php?aid=242348//机器狗/病毒/AtiSrv.exe//PE_Patch//UPack
已检测到: 木马程序 Trojan-Downloader.Win32.Delf.epw        URL: http://bbs.kafan.cn/attachment.php?aid=242348//机器狗/病毒/baidu.exe//PE_Patch//UPack
已检测到: 木马程序 Trojan-Downloader.Win32.Delf.epw        URL: http://bbs.kafan.cn/attachment.php?aid=242348//机器狗/病毒/baidu.exe//PE_Patch//UPack//#
已检测到: 木马程序 Trojan-PSW.Win32.OnLineGames.rxpi        URL: http://bbs.kafan.cn/attachment.php?aid=242348//机器狗/病毒/Display3D.exe//PE_Patch//UPack

秋叶濛濛

楼主是转毒霸的？