Trojan-Downloader.Win32.Delf.ain分析

病毒标签： 云南博客r.I:_jNy [
 病毒名称： Trojan-Downloader.Win32.Delf.ain 云南博客w O`/R!{S L@ x
病毒类型： 木马 云南博客,|!c_xfP'Ls
文件 MD5： 8B10932BA81F41561EA62FF3E0426A17
PAo9l#@G6??0公开范围： 完全公开
-VFY8NN0B}0危害等级： 中 云南博客\o|Q fB t&A5g
文件长度： 66,056 字节 云南博客{!ZAC)KI
感染系统： windows98以上版本 云南博客nyoA @!cAL
开发工具： Microsoft Visual C++ 6.0
xF7]_:MlD!X&Q,c2wd0加壳类型： 未知壳 云南博客5}1}w1z;|!O|&@pc
命名对照： Symentec[Hacktool]
ip]mSZi-^d0　　　　　 Mcafee[无]
vk8qhy0  云南博客lh:l(h8@DY$a"UoS
病毒描述： 云南博客'C@%j$g&|w0z
 　　该病毒属木马类，病毒运行后在%system32%\CatRoot2下新建了大量.log文件，用以记录键盘操作，从而盗取用户敏感信息，并以邮件的形式发送给病毒作者。释放修改系统时间的文件到文件夹%system32%\CatRoot2下，使病毒文件的新建时间与系统时间不一至，同时释放文件碎片恢复文件%system32%\CatRoot2\.edb.chk，此文件可以恢复被删除的病毒文件，给手工删除此病毒带来了一定的困难。此病毒对用户有一定危害。 云南博客%I,{WW;C8Wk
 
7ou:Cd[6cE9Q{#Q [*h0行为分析：
o!j6u;sb6m BM$Q0 1、病毒运行后在%system32%\CatRoot2下新建了大量.log文件，用以记录键盘操作：
%Qq]0]esyPl#K0云南博客j_'@KY
%system32%\CatRoot2\res1.log
v@] l1P hSf0%system32%\CatRoot2\res2.log 云南博客aT AFRB3]
%system32%\CatRoot2\edb.log 云南博客E9Rm+f*J!s
%system32%\CatRoot2\dberr.txt 云南博客!A#@S-w$N{
%system32%\CatRoot2\edbtmp.log
a&\M J@"z O2Z3J0%system32%\CatRoot2\edb0001b.log
Xo8K'b#Kk"X0云南博客*XD0E'c}[7W
云南博客L9w7J+F4YaD`#|
2、病毒记录键盘操作，并以邮件的形式发送给病毒作者：
v-[R2TL0云南博客vC_9G;|
病毒作者邮箱：refdom@263.net
&ikI @!hx?k-G0云南博客^'fD])Z/V&p
3、释放修改系统时间的文件到文件夹%system32%\CatRoot2下,使病毒文件的新建时间与系统时间不一至： 云南博客N9x^{"?Wg'f

"y ss9S7LUv0%system32%\CatRoot2\\catdb 云南博客/M*hKC5Co'IL^
%system32%\CatRoot2\\TimeStamp
mL%g#{ TJ"Um9xT-z0%system32%\CatRoot2\\ catdb
Cj8PB1u#Mk;E0%system32%\CatRoot2\\ TimeStamp
ZR4xW6P8w)w0%system32%\CatRoot2\tmp.edb 云南博客.} @ P$M ]s

I|(?#vl.F04、释放文件碎片恢复文件，用来恢复被删除的病毒文件，从而给手工删除此病毒带来了一定的困难： 云南博客J]fyv&N

n!G{ N@X[0%system32%\CatRoot2\.edb.chk 云南博客)@)U z ] j:BX
e$G.gP_8U
云南博客)s0`` jJ!lx)n
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
;np6T!X@#h'X D0yEY(\0  云南博客tGo8V/D;aM

Vw|va+KCTEj o0--------------------------------------------------------------------------------
+A;G ^+z7{ Mc0清除方案 ：
aA~6mE4B7IB0  1、使用安天木马防线可彻底清除此病毒(推荐)。
6uT2{5qwg
C.z@0
um&d0~ uH02、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

字串3

6ln{/e|AI0云南博客*\+~X+a3J-]*N
(1) 使用安天木马防线“进程管理”关闭病毒进程
nQ6},e}/K0(2) 删除病毒文件 云南博客 Z6zD ShwqL

L1Hvf,yI;a0%system32%\CatRoot2\res1.log
(K5?/sc4WZk0%system32%\CatRoot2\res2.log 云南博客HRu8W+[ {
%system32%\CatRoot2\edb.log 云南博客i_3oue/mR&yx
%system32%\CatRoot2\dberr.txt 云南博客b:G.V9mtL
%system32%\CatRoot2\edbtmp.log 云南博客yyR U1Ij q}8hvo
%system32%\CatRoot2\edb0001b.log 云南博客vj.IsBP#i^s
%system32%\CatRoot2\\catdb
/m"R
{8n V0%system32%\CatRoot2\\TimeStamp 云南博客 ~Xqly4Mc
%system32%\CatRoot2\\ catdb
P(Nm4OP@ vl,R!os0%system32%\CatRoot2\\ TimeStamp
K Sw5la6W%dPo?-q0%system32%\CatRoot2\tmp.edb 云南博客4[1h&S9s5h r
%system32%\CatRoot2\.edb.chk