Trojan-Dropper.Win32.Agent.ats

Trojan-Dropper.Win32.Agent.ats 是一種木馬性病毒，其中文名字叫中文上網。該病毒運行後，衍生病毒檔案到系統目錄下。添加註冊表啟動項，以達到開機載入病毒體的目的。

基本介紹

• 中文名：中文上網
• 外文名：Trojan-Dropper.Win32.Agent.ats
• 病毒類型：木馬
• 公開範圍：完全公開

簡介

病毒名稱： Trojan-Dropper.Win32.Agent.ats

檔案 MD5： C9A2539F67683DE533CC757AAA9369C6

危害等級： 中等

檔案長度： 363,520 位元組

感染系統： Win9X以上系統

開發工具： Microsoft Visual C++ 6.0

加殼類型： ASPack 2.12 -＞Alexey Solodovnikov

命名對照： 無

病毒描述：

連線某網址，下載病毒檔案到本機運行，添加系統服務項，插入IE的BHO對象。並衍生檔案到%System32\Drivers%目錄下，造成卸載困難。

行為分析

衍生下列副本與檔案

%Program Files%\CNNIC

%Program Files%\CNNIC\Cdn\Images\

%Program Files%\CNNIC\Cdn\Update\

%Program Files%\CNNIC\Cdn\cdnaux.dll

%Program Files%\CNNIC\Cdn\cdnforie.dll

%Program Files%\CNNIC\Cdn\cdnprh.dll

%Program Files%\CNNIC\Cdn\cdnunins.exe

%Program Files%\CNNIC\Cdn\cdnup.exe

%Program Files%\CNNIC\Cdn\idnconvs.dll

%Program Files%\CNNIC\Cdn\cdnvers.dat

%Program Files%\CNNIC\Cdn\src.dat

%WINDOWS\system32%\cdndisp.tmp

%WINDOWS\system32%\cdnns.dll

%WINDOWS\system32%\cdnprot.dat

%WINDOWS\system32\drivers%\cdnprot.sys

下載檔案列表

%Documents and Settings\用戶名\Local Settings\Temp\%1C

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdn.dll

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnaux.dll

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnforie.dll

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnins.dll

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnprh.dll

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnprot.dat

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnprot.sys

%Documents and Settings\用戶名\Local Settings\Temp\%1C\idnconvs.dll

%Documents and Settings\用戶名\Local Settings\Temp\%1C\setup.exe

%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnup.exe

新建註冊表鍵值

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\CdnCtr鍵值: 字元串:"%ProgramFiles%\CNNIC\Cdn\cdnup.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion

\Explorer\Browser Helper Objects鍵值: 字元串: “%programfiles%\cnnic\cdn\cdnforie.dll”

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services

\cdnprot\DescriptionName鍵值: 字元串: "cdnprot"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\cdnprot\ImagePath

鍵值: 類型: REG_EXPAND_SZ 長度: 29 (0x1d) 位元組system32\drivers\cdnprot.sys.

連線下列網址

update.*****.cn(***.208.170.72)

jump.*****.cn:80(***.241.97.33)

註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

--------------------------------------------------------------------------------

清除方案

：

1、使用安天木馬防線可徹底清除此病毒(推薦)

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天木馬防線“進程管理”關閉病毒進程

cdnup.exe

(2) 刪除病毒衍生檔案

%Program Files%\CNNIC\

%WINDOWS\system32%\cdndisp.tmp

%WINDOWS\system32%\cdnns.dll

%WINDOWS\system32%\cdnprot.dat

%WINDOWS\system32\drivers%\cdnprot.sys

%Documents and Settings\用戶名\Local Settings\Temp\%1C\

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\CdnCtr鍵值: 字元串:"%ProgramFiles%\CNNIC\Cdn\cdnup.exe"

HKLM\Software\Microsoft\Windows\CurrentVersion

\Explorer\Browser Helper Objects鍵值: 字元串: “%programfiles%\cnnic\cdn\cdnforie.dll”

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services

\cdnprot\DescriptionName鍵值: 字元串: "cdnprot"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services

\cdnprot\ImagePath鍵值: 類型: REG_EXPAND_SZ 長度: 29 (0x1d) 位元組system32\drivers\cdnprot.sys.