机器狗变种 Trojan-Downloader.Win32.Agent.qpv分析

　　http://abc.updat****.cn/27.gif

　　http://abc.updat****.cn/28.gif

　　http://abc.updat****.cn/29.gif

　　http://abc.updat****.cn/30.gif

　　http://abc.updat****.cn/31.gif

　　http://abc.updat****.cn/32.gif

　　http://abc.updat****.cn/33.gif

　　http://abc.updat****.cn/34.gif

　　http://abc.updat****.cn/35.gif

　　注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的

　　位置。

　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录

　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录

　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录

　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区

　　%Documents and Settings% 　　　当前用户文档根目录

　　%Temp% 　　　　　　　　　　　　Documents and Settings

　　　　　　　　　当前用户Local SettingsTemp

　　%System32% 　　　　　　　　　　系统的 System32文件夹

　　Windows2000/NT中默认的安装路径是C:WinntSystem32

　　windows95/98/me中默认的安装路径是C:WindowsSystem

　　windowsXP中默认的安装路径是C:WindowsSystem32　　

　　--------------------------------------------------------------------------------

　　清除方案：

　　1 、使用安天防线2008可彻底清除此病毒(推荐)，

　　　请到安天网站下载： www.antiy.com　

　　2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

　　(1)使用ATOOL“进程管理”找到rundll32.exe进程结束

　　　 该进程。

　　(2)强行删除病毒文件：

　　　 %Windir%AppPatchJview.dll

　　　 %Windir%AppPatch AcXtrnel.dll

　　(3)删除病毒服务注册表项：

　　　 [HKEY_LOCAL_MACHINESOFTWAREClasses

　　　 CLSID{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}

　　　 InprocServer32]

　　　 新建键值: "@"

　　　 类型： REG_SZ

　　　 字符串： “C:WINDOWSAppPatchJview.dll”

　　　 描述: 添加注册表项，以达到随机启动的目的　 　

　　　 [HKEY_LOCAL_MACHINESOFTWAREClasses

　　　 CLSID{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}

　　　 InprocServer32]

　　　 新建键值: "ThreadingModel"

　　　 类型： REG_SZ

　　　 字符串： “Apartment”

　　　 描述: 注册CLSID值

　　　 [HKEY_LOCAL_MACHINESOFTWAREMicrosoft

　　　 WindowsCurrentVersion

　　　 ShellServiceObjectDelayLoad]

　　　 新建键值: "JavaView"

　　　 类型： REG_SZ

　　　 字符串： “{DA191DE0-AA86-D04E-4B87-2A3D4928BE99}”