Trojan-Downloader.Win32.VB.afs
病毒名称： Trojan-Downloader.Win32.VB.afs
病毒类型： 木马类
文件 MD5： f6906b88c0cfa219cb7217711c958525
公开范围： 完全公开
危害等级： 中等
文件长度： 4,645 字节
感染系统： Win9X以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]
命名对照： Symentec[无]
Mcafee[无]
病毒描述：
该病毒运行后，建立文件夹%System32%microsoft和%Program Files%pcast。并在pcast文件夹下释放两个文件分别为download.ini和updat.exe.而后病毒会访问2**.100.33.13，下载病毒文件到%Documents and SettingsAdministratorLocal SettingsTemp%，并会打开计划任务，添加一个名为DM_Install_Program.jobdmremotesetup的任务。执行路径为%documents and settings当前用户名localsettingsemp\101577.exe，该病毒对用户有一定危害。
行为分析：
1、释放文件夹及相关文件：
%System32\%microsoftProtectS-1-5-18User
76d00f4a-dc1c-481e-86be-5c4366c95531
%System32\%microsoftProtectS-1-5-18UserPreferred
%System32\%microsoftCrypto
%System32\%microsoftProtect
%Program Files\%pcastPodcastbarMiniownload.ini
%Program Files\%pcastPodcastbarMiniupdat.exe
%Documents and SettingsAdministratorLocal SettingsTemp%1.exe
%Documents and SettingsAdministratorLocal SettingsTemp%101577.exe
2、新建注册表项：
HKEY_LOCAL_MACHINESOFTWAREsharehelperInstallOEMURL
值: 字符串: "http://ulink4.******.com/setup/iebar.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
SharedAccessParametersFirewallPolicyStandardProfile
AuthorizedApplicationsList
值: 字符串: "C:DOCUME~1ADMINI~1LOCALS~1Temp101577.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001Services
SharedAccessParametersFirewallPolicyStandardProfile
AuthorizedApplicationsList\%Program Files
pcastPodcastbarMini\%update.exe"
值: 字符串: "C:Program FilespcastPodcastbarMiniupdate.exe"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices
SharedAccessParameters
FirewallPolicyStandardProfileAuthorizedApplicationsList
值: 字符串: "%DOCUME~1当前用户名LOCALS~1Temp101577.exe
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess
ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList
值: 字符串: "%Program FilespcastPodcastbarMiniupdate.exe
3、病毒运行后连接下列地址：
6*.183.15.233
2**.100.33.13
4、病毒运行后添加一项计划任务：
描述发行商映象路径
DM_Install_Program.jobdmremotesetup1000 Oaks%
documents and settings当前用户名local settingsemp101577.exe
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案 ：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件：
%System32\%microsoftProtectS-1-5-18User
76d00f4a-dc1c-481e-86be-5c4366c95531
%System32\%microsoftProtectS-1-5-18UserPreferred
%System32\%microsoftCrypto
%System32\%microsoftProtect
%Program Files\%pcastPodcastbarMiniownload.ini
%Program Files\%pcastPodcastbarMiniupdat.exe
%Documents and SettingsAdministratorLocal SettingsTemp%1.exe
%Documents and SettingsAdministratorLocal SettingsTemp%101577.exe
(3) 删除病毒添加的计划任务。
(4) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINESOFTWAREsharehelperInstallOEMURL
值: 字符串: "http://ulink4.dudu.com/setup/iebar.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesSharedAccess
ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList
值: 字符串: "C:DOCUME~1ADMINI~1LOCALS~1Temp101577.exe"
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesSharedAccess
ParametersFirewallPolicyStandardProfileAuthorizedApplications
List\%Program FilespcastPodcastbarMini\%update.exe"
值: 字符串: "C:Program FilespcastPodcastbarMiniupdate.exe"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess
ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList
值: 字符串: "%DOCUME~1当前用户名LOCALS~1Temp101577.exe
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess
ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList
值: 字符串: "%Program FilespcastPodcastbarMiniupdate.exe