5月25日病毒预报--机器狗变种Trojan-Downloader.Win32.EDog.af
病毒名称
Trojan-Downloader.Win32.EDog.af
捕获时间2008-05-24
病毒摘要 该木马是使用VC编写的可以穿透还原保护类型的下载者程序，由微点主动防御软件自动捕获，采用UPX加壳方式试图躲避特征码扫描,加壳后长度25,213字节，图标为
，使用 exe扩展名，通过网页木马、其他下载器下载的方式传播，主要针对安装有还原系统的网吧进行攻击，攻击成功后自动下载多种盗号木马窃取网游玩家的用户密码信息。
感染对象Windows 2000/Windows XP/Windows 2003
传播途径网页木马、下载器下载
安全提示 已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“可疑程序”，请直接选择删除处理（如图1）；
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现" Trojan-Downloader.Win32.EDog.af”，请直接选择删除（如图2）。
对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭U盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
病毒分析
样本主程序分析
动作一：
该样本程序被执行后，查找自身资源名为“65”的资源，该资源为一个动态链接库文件，读取后将其释放到%temp%目录下命名为“dat*.tmp”并加载到自身进程空间。
动作二：
提升自身进程权限为“SeDebugPrivilege”，遍历进程及其线程查找“DrvAnti.exe”，如果找到使用TerminateThread强制关闭驱动防火墙 DrvAnti.exe主线程，查找所释放模块“dat*.tmp”资源名为“66”的资源，该资源为一个驱动文件，读取后将其释放到%temp%目录下命名为“dat#.tmp”；调用ZwQuerySystemInformation查询系统模块信息检索“classpnp.sys”、“stpdrive.sys”、“ntfs.sys”、“ntkrpamp.exe”、“fastfat.sys”、“ntoskrnl.exe”、“NTKRNLPA.exe”、“atapi.sys”、“ntkrpamp.exe”、“ntkrnlmp.exe”并确认以上模块映像是否存在，判断系统硬件环境以及文件系统环境。
动作三：
将%SystemRoot%\system32\drivers目录下的“beep.sys”拷贝到“%SystemRoot%\system32\dllcache”目录下，之后将“beep”服务停止，拷贝木马所释放的驱动文件“dat#.tmp”覆盖%SystemRoot%\system32\drivers目录下的“beep.sys”，调用API函数StartServiceA再次启动服务。
动作四：
获取系统目录分别查找系统文件services.exe、cdfview.dll，打开物理磁盘“\Device\Harddisk0\DR0”，读取文件检测自身是否遭到感染，如果未感染获取其物理扇区地址，通过驱动解除还原软件：“\\Driver\\DeepFrz（冰点）”、“\\Driver\\snpshot（影子系统）”、“\\Driver\\YzIdiot（还原精灵）”、“\\Driver\\newarch（未知设备）”的Object Hook，创建文件映射到内存中将以上两文件感染，被感染文件分析见下文，感染之后恢复Object Hook，达到突破还原的目的。
动作五：
把病毒当前执行路径保存到注册表中。
项：HKLM\software\microsoft\windows\currentversion\explorer\desktop\
健值：sysfile
指向数据：病毒当前执行路径
动作六：
提升自身进程权限为“SeDebugPrivilege”，遍历进程查找Winlogon.exe。找到后进行注入，如果注入成功则使注入的代码被执行后载入病毒所释放的动态链接库文件，再次执行以上动作，否则遍历进程查找explorer.exe，找到后进行注入，并执行动态链接库文件，再次执行以上动作。
动作七：
读取下载列表
http://g.jt**.com/ms.txt下载多种盗号木马到本地执行。
被感染的Services.exe分析：
小提示：Services.exe为Windows核心进程，系统服务管理器进程，在系统登陆前由Winlogon.exe进程加载，用于加载并初始化Win32环境下的服务程序，并负责服务管理及其调用。无论是杀毒软件还是主动防御的主服务进程都是由次此文件进行初始化的，一旦此文件被恶意感染或修改就会抢先于杀毒软件或主动防御软件启动，所以有效的防范此类病毒才可以使系统更安全。
被感染的Services.exe导入表中添加一个函数“HttpUddUrl”，文件大小不变。当该文件被Winlogon.exe启动后，会调用被病毒所修改“cdfview.dll”中的“HttpUddUrl”函数。
被感染的cdfview.dll分析：
该文件是被病毒以首字节覆盖的方式感染的，感染文件大小不变，但正常系统功能调用已经被破坏。完成功能同病毒释放的动态链接库文件，经过Upack加壳方式压缩，共导出三条函数“HttpAddUrl”、“InitHttp”、“ReadHttp”：
HttpAddUrl功能同主体文件分析“动作二”开始执行
InitHttp功能同主体文件分析“动作六”开始执行
ReadHttp功能同主体文件分析“动作五”开始执行
