“TrojanDownloader.VB.tt”病毒分析

　　加壳名：UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]

　　编译器：Microsoft Visual Basic 5.0 / 6.0

　　入口点：00001A38

　　反杀软：

　　ntsd -c q -pn 360safe.exe

　　ntsd -c q -pn 360tray.exe

　　修改系统日期为：1994年5月9日

　　自我复制：

　　c:program filesinternet explorersvchost.exe

　　躲避部分防火墙监控：

　　后台调用“C:WINDOWSsystem32ntsd.exe”，利用该进程再去调用“c:program filesinternet exploreriexplore.exe ”进行恶意操作(连接网络，下载木马等)。

　　主程序也直接调用“c:program filesinternet exploreriexplore.exe ”进行恶意操作(连接网络，下载木马等)。

　　中木马用户个数统计：

　　http://ask.35832.com/main.js

　　下载恶意程序，并自动安装运行：

　　http://60.190.101.206/abc.exe

　　http://web.59cn.cn/leiying/11.exe

　　http://51731006.com/admin/xx.exe

　　病毒的后门，会连接病毒作者自己的网站(借助其它骇客之手使自己也悄悄的获利)，然后进行刷访问量操作：

　　“http://www.xiuzhe.com/tongji.html”、“http://www.xiuzhe.com/tongji2.html”。

　　这2个网站地址都会在网页后台利用“iframe”语句后去连接“http://www.dumex.com.cn/dumexgoldclub/strongestmoment/vote_ok.aspx?membershipid=1716dc56-e937-4701-9791-82179bcbfb65”地址进行获奖比赛投票操作。

　　(通过社会工程学理论得到“该木马由‘免杀下载者’生成器生成，程序作者：带头大哥，QQ:627013”，免费的东西就是不能用啊，有后门的。)

　　病毒启动项：

　　hklmsoftwaremicrosoftwindowscurrentversionrun

　　c:program filesinternet explorersvchost.exe