出处：超级巡警 时间:2008年10月09日10:06 查看:... 次 超级巡警

       超级巡警团队监测到恶意程序Trojan-Downloader.Win32.ACVE.t，该病毒运行后会修改host文件屏蔽一些域名，其中大部分域名是其他网页木马或者木马下载者的域名。该病毒将其他木马的网站都屏蔽进行黑吃黑是因为木马作者之间利益发生冲突。由于这些链接极其危险，用户在看到这些链接的时候请不要轻易点击，以免您计算机系统被这些木马感染，造成不必要的损失。该病毒最大的危害在于它下载大量盗取游戏帐号的木马，同时使360保险箱失效，盗号木马盗取用户游戏账号，给用户的财产带来损失，超级巡警建议用户使用超级巡警保险箱来保证游戏账号的安全。同时提醒广大用户及时更新病毒库，对该程序进行有效查杀。

一、病毒相关分析：
       病毒标签：
          病毒名称：Trojan-Downloader.Win32.ACVE.t
          中文名：  木马下载者
          病毒类型：木马
          危害级别：5
          感染平台：Windows
          病毒大小：23,737字节
          SHA1　：  E3095571FC901A046C921AE84D4C575473CE9803
          加壳类型：FSG
          开发工具：ASM

       病毒行为：
          1、病毒运行以后释放其他病毒文件。
               %Windir%doscmda.dll
               %temp%5155671_res.tmp(数字部分随机)
               %system%woauolt.exe
               %temp%svDE.tmp

          2、创建进程快照，遍历进程，如果存在kavstart.exe进程，就将该进程结束。

          3、创建进程快照，遍历进程，如果存在kavstart.exe进程，就将该进程结束，该进程被结束之后，360保险箱就会失去作用，用户的游戏账号会有被盗的危险，建议用户使用超级巡警保险箱来保证游戏账号的安全。

          4、下载文件http://www.mmd***.cn/ad.jpg，并将改文件的内容写入到host文件中。以下的域名大部分是其他网页木马或者木马下载者的域名，该病毒将其他木马的网站都屏蔽了，原因是木马作者之间利益发生冲突导致黑吃黑，由于这些链接及其危险，用户在看到这些链接的时候请不要轻易点击，以免您计算机系统被这些木马感染，造成不必要的损失。

               127.0.0.1       v.onondown.com.cn
               127.0.0.2       ymsdasdw1.cn
               127.0.0.3       h96b.info
               127.0.0.1       va9sdhun23.cn
               127.0.0.2       bnasnd83nd.cn
               127.0.0.3       adlaji.cn
               127.0.0.1       858656.com
               127.1.1.1       bnasnd83nd.cn
               127.0.0.1       my123.com
               127.0.0.0       user1.12-27.net
               127.0.0.1       8749.com
               127.0.0.0       fengent.cn
               127.0.0.1       4199.com
               127.0.0.1       user1.16-22.net
               127.0.0.1       7379.com
               127.0.0.1       2be37c5f.3f6e2cc5f0b.com
               127.0.0.1       7255.com
               127.0.0.1       user1.23-12.net
               127.0.0.1       3448.com
               127.0.0.1       www.guccia.net
               127.0.0.1       7939.com
               127.0.0.1       a.o1o1o1.nEt
               127.0.0.1       8009.com
               127.0.0.1       user1.12-73.cn
               127.0.0.1       piaoxue.com
               127.0.0.1       3n8nlasd.cn
               127.0.0.1       kzdh.com
               127.0.0.0       www.sony888.cn
               127.0.0.1       about.blank.la
               127.0.0.0       user1.asp-33.cn
               127.0.0.1       6781.com
               127.0.0.0       www.netkwek.cn
               127.0.0.1       7322.com
               127.0.0.0       ymsdkad6.cn
               127.0.0.1       localhost
               127.0.0.0       www.lkwueir.cn
               127.0.0.1       06.jacai.com
               127.0.1.1       user1.23-17.net
               127.0.0.1       1.jopenkk.com
               127.0.0.0       upa.luzhiai.net
               127.0.0.1       1.jopenqc.com
               127.0.0.0       www.guccia.net
               127.0.0.1       1.joppnqq.com
               127.0.0.0       4m9mnlmi.cn
               127.0.0.1       1.xqhgm.com
               127.0.0.0       mm119mkssd.cn
               127.0.0.1       100.332233.com
               127.0.0.0       61.128.171.115:8080
               127.0.0.1       121.11.90.79
               127.0.0.0       www.1119111.com
               127.0.0.1       121565.net
               127.0.0.0       win.nihao69.cn
               127.0.0.1       125.90.88.38
               127.0.0.1       16888.6to23.com
               127.0.0.1       2.joppnqq.com
               127.0.0.0       puc.lianxiac.net
               127.0.0.1       204.177.92.68
               127.0.0.0       pud.lianxiac.net
               127.0.0.1       210.74.145.236
               127.0.0.0       210.76.0.133
               127.0.0.1       219.129.239.220
               127.0.0.0       61.166.32.2
               127.0.0.1       219.153.40.221
               127.0.0.0       218.92.186.27
               127.0.0.1       219.153.46.27
               127.0.0.0       www.fsfsfag.cn
               127.0.0.1       219.153.52.123
               127.0.0.0       ovo.ovovov.cn
               127.0.0.1       221.195.42.71
               127.0.0.0       dw.com.com
               127.0.0.1       222.73.218.115
               127.0.0.1       203.110.168.233:80
               127.0.0.1       3.joppnqq.com
               127.0.0.1       203.110.168.221:80
               127.0.0.1       363xx.com
               127.0.0.1       www1.ip10086.com.cm
               127.0.0.1       4199.com
               127.0.0.1       blog.ip10086.com.cn
               127.0.0.1       43242.com
               127.0.0.1       www.ccji68.cn
               127.0.0.1       5.xqhgm.com
               127.0.0.0       t.myblank.cn
               127.0.0.1       520.mm5208.com
               127.0.0.0       x.myblank.cn
               127.0.0.1       59.34.131.54
               127.0.0.1       210.51.45.5
               127.0.0.1       59.34.198.228
               127.0.0.1       www.ew1q.cn
               127.0.0.1       59.34.198.88
               127.0.0.1       59.34.198.97
               127.0.0.1       60.190.114.101
               127.0.0.1       60.190.218.34
               127.0.0.0       qq-xing.com.cn
               127.0.0.1       60.191.124.252
               127.0.0.1       61.145.117.212
               127.0.0.1       61.157.109.222
               127.0.0.1       75.126.3.216
               127.0.0.1       75.126.3.217
               127.0.0.1       75.126.3.218
               127.0.0.0       59.125.231.177:17777
               127.0.0.1       75.126.3.220
               127.0.0.1       75.126.3.221
               127.0.0.1       75.126.3.222
               127.0.0.1       772630.com
               127.0.0.1       832823.cn
               127.0.0.1       8749.com
               127.0.0.1       888.jopenqc.com
               127.0.0.1       89382.cn
               127.0.0.1       8v8.biz
               127.0.0.1       97725.com
               127.0.0.1       9gg.biz
               127.0.0.1       www.9000music.com
               127.0.0.1       test.591jx.com
               127.0.0.1       a.topxxxx.cn
               127.0.0.1       picon.chinaren.com
               127.0.0.1       www.5566.net
               127.0.0.1       p.qqkx.com
               127.0.0.1       news.netandtv.com
               127.0.0.1       z.neter888.cn
               127.0.0.1       b.myblank.cn
               127.0.0.1       wvw.wokutu.com
               127.0.0.1       unionch.qyule.com
               127.0.0.1       www.qyule.com
               127.0.0.1       it.itjc.cn
               127.0.0.1       www.linkwww.com
               127.0.0.1       vod.kaicn.com
               127.0.0.1       www.tx8688.com
               127.0.0.1       b.neter888.cn
               127.0.0.1       promote.huanqiu.com
               127.0.0.1       www.huanqiu.com
               127.0.0.1       www.haokanla.com
               127.0.0.1       play.unionsky.cn
               127.0.0.1       www.52v.com
               127.0.0.1       www.gghka.cn
               127.0.0.1       icon.ajiang.net
               127.0.0.1       new.ete.cn
               127.0.0.1       www.stiae.cn
               127.0.0.1       o.neter888.cn
               127.0.0.1       comm.jinti.com
               127.0.0.1       www.google-analytics.com
               127.0.0.1       hz.mmstat.com
               127.0.0.1       www.game175.cn
               127.0.0.1       x.neter888.cn
               127.0.0.1       z.neter888.cn
               127.0.0.1       p.etimes888.com
               127.0.0.1       hx.etimes888.com
               127.0.0.1       abc.qqkx.com
               127.0.0.1       dm.popdm.cn
               127.0.0.1       www.yl9999.com
               127.0.0.1       www.dajiadoushe.cn
               127.0.0.1       v.onondown.com.cn
               127.0.0.1       www.interoo.net
               127.0.0.1       bally1.bally-bally.net
               127.0.0.1       www.bao5605509.cn
               127.0.0.1       www.rty456.cn
               127.0.0.1       www.werqwer.cn
               127.0.0.1       1.360-1.cn
               127.0.0.1       user1.23-16.net
               127.0.0.1       www.guccia.net
               127.0.0.1       www.interoo.net
               127.0.0.1       upa.netsool.net
               127.0.0.1       js.users.51.la
               127.0.0.1       vip2.51.la
               127.0.0.1       web.51.la
               127.0.0.1       qq.gong2008.com
               127.0.0.1       2008tl.copyip.com
               127.0.0.1       tla.laozihuolaile.cn
               127.0.0.1       www.tx6868.cn
               127.0.0.1       p001.tiloaiai.com
               127.0.0.1       s1.tl8tl.com
               127.0.0.1       s1.gong2008.com
               127.0.0.1       4b3ce56f9g.3f6e2cc5f0b.com
               127.0.0.1       2be37c5f.3f6e2cc5f0b.com

          5、下载文件http://www.178***.cn/down/ko.exe，此文件也是一个木马下载者，主要功能是下载大量游戏木马，盗取用户游戏账号，下载的木马列表http://www.178***.cn/new.txt：

               http://61.164.118.***/new/new1.exe
               http://61.164.118.***/new/new2.exe
               http://61.164.118.***/new/new3.exe
               http://61.164.118.***/new/new4.exe
               http://61.164.118.***/new/new5.exe
               http://61.164.118.***/new/new6.exe
               http://61.164.118.***/new/new7.exe
               http://61.164.118.***/new/new8.exe
               http://61.164.118.***/new/new10.exe
               http://61.164.118.***/new/new11.exe
               http://61.164.118.***/new/new12.exe
               http://61.164.118.***/new/new13.exe
               http://61.164.118.***/new/new14.exe
               http://61.164.118.***/new/new15.exe
               http://61.164.118.***/new/new16.exe
               http://61.164.118.***/new/new17.exe
               http://61.164.118.***/new/new18.exe
               http://61.164.118.***/new/new19.exe
               http://59.34.216.***/new/new20.exe
               http://59.34.216.***/new/new21.exe
               http://59.34.216.***/new/new22.exe
               http://59.34.216.***/new/new23.exe
               http://59.34.216.***/new/new25.exe
               http://59.34.216.***/new/new26.exe
               http://59.34.216.***/new/new27.exe
               http://59.34.216.***/new/new28.exe
               http://59.34.216.***/new/new29.exe
               http://59.34.216.***/new/new30.exe
               http://59.34.216.***/new/new31.exe

          6、尝试链接网址：http://w.qq-uc.cn/getmac.jsp

二、解决方案
       推荐方案：安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
                        超级巡警下载地址：http://www.sucop.com/download/16.html

       手工清除方法：
              1、结束病毒进程。打开超级巡警，选择进程管理功能，终止woauolt.exe、svDE.tmp进程。

              2、删除病毒生成的文件。
                   %Windir%doscmda.dll
                   %temp%5155671_res.tmp(数字部分随机)
                   %system%woauolt.exe
                   %temp%svDE.tmp

三、安全建议
       1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
       2、禁用不必要的服务。
       3、不要随便打开不明来历的电子邮件，尤其是邮件附件。
       4、不要随意下载不安全网站的文件并运行。
       5、下载和新拷贝的文件要首先进行查毒。
       6、不要轻易打开即时通讯工具中发来的链接或可执行文件。
       7、使用移动存储介质进行数据访问时，先对其进行病毒检查，建议使用超级巡警U盘免疫器进行免疫。

注： %System% 是一个可变路径，在windows95/98/me中该变量是指%Windir%System，
在WindowsNT/2000/XP/2003/VISTA中该变量指%Windir%System32。其它：
              %SystemDrive%                                                             系统安装的磁盘分区
              %SystemRoot% = %Windir% WINDODWS                     系统目录
              %ProgramFiles%　                                                         应用程序默认安装目录
              %AppData%                                                                   应用程序数据目录
              %CommonProgramFiles%                                              公用文件目录
              %HomePath%                                                                当前活动用户目录
              %Temp% =%Tmp%                                                        当前活动用户临时目录
              %DriveLetter%                                                               逻辑驱动器分区
              %HomeDrive%                                                               当前用户系统所在分区

0

顶一下