Full description

病毒:	TR/Malex.E.966
发现日期:	13/12/2012
类型:	特洛伊木马
广泛传播:	否
病毒传播个案呈报：	低程度至中程度
感染/传播能力：	低程度
破坏 / 损害程度：	低程度
文件大小:	89632 字节
MD5 校检和:	fa758a2a6ae4fbc1d0df65fed11bf968
VDF 版本:	7.11.53.216 - 2012년 12월 13일 목요일
IVDF 版本:	7.11.53.216 - 2012년 12월 13일 목요일

况概描述 传播方法:
   • 无内置传播例程

别名:
   • Mcafee: Generic.dx!bf3v
   • Kaspersky: Trojan-PSW.Win32.Tepfer.aoxk
   • Bitdefender: Gen:Variant.Kazy.73702
   • Grisoft: Generic28.CFPU
   • Eset: a variant of Win32/Kryptik.AIJX trojan
   • GData: Gen:Variant.Kazy.73702
   • Norman: Trojan W32/Troj_Generic.CXXCF

平台/操作系统:
   • Windows 2000
   • Windows XP
   • Windows 2003
   • Windows Vista
   • Windows Server 2008
   • Windows 7

副作用:
   • 注册表修改

文件它将本身复制到以下位置:
   • %appdata%\System32\csrss.exe
   • %appdata%\rundll32.exe
   • %appdata%\svchost.exe

注册表在每个注册表项中添加以下某个注册值，以便在系统重新引导后运行进程:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Client Server Runtime Process"="C:\%appdata%\\System32\\csrss.exe"
   • "Host-process Windows (Rundll32.exe)"="C:\%appdata%\\rundll32.exe"
   • "Service Host Process for Windows"="C:\%appdata%\\svchost.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Client Server Runtime Process"="C:\%appdata%\\System32\\csrss.exe"
   • "Host-process Windows (Rundll32.exe)"="C:\%appdata%\\rundll32.exe"
   • "Service Host Process for Windows"="C:\%appdata%\\svchost.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Host-process Windows (Rundll32.exe)"="C:\%appdata%\\System32\\csrss.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Host-process Windows (Rundll32.exe)"="C:\%appdata%\\System32\\csrss.exe"

它会创建以下项，以便绕过 Windows XP 防火墙:

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "Client Server Runtime Process"="C:\%appdata%\\System32\\csrss.exe"
   • "Host-process Windows (Rundll32.exe)"="C:\%appdata%\\rundll32.exe"
   • "Service Host Process for Windows"="C:\%appdata%\\svchost.exe"

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "Host-process Windows (Rundll32.exe)"="C:\Documents and
      Settings\\vanciefancie\\Application Data\\System32\\csrss.exe"

会添加以下注册表项目注册值:

– [HKCU\Software\BC Clients]
   • "0"=".{RM
   • \"'$H/::l <-\0x008DR+=8(<.^]8(\"\";,K *%$NH]1\" / & B/nM-53U>8==),a{1\"=;?2|,U$"
   • "1"=".{RM
   • \"'$H/::l <-\0x008DR+=8(<.^]8(\"\";,K *%$NH]1\" / & B/nM-53U_4 - -a{\0x0192$6,"
   • "2"=".{RM
   • \"'$H/::l <-\0x008DR+=8(<.^]8(\"\";,K *%$NH]1\" / & B/nM-53U^7-!
   • 2&gH9+"
   • "d"="N{R149N:L,>%)o71H"

其他 互联网连接:
为了检查互联网连接，会访问以下 DNS 服务器:
• smtp.**********e.com
• puzzle**********talking.com

설명 삽입자 Wensin Lee 2012년 7월 17일 화요일
설명 업데이트 Wensin Lee 2012년 7월 17일 화요일

뒤로 . . . .

내 계정