病毒介紹
病毒名稱： Trojan-Dropper.Win32.Agent.ats中文名稱： 中文上網
病毒類型： 木馬
檔案 MD5： C9A2539F67683DE533CC757AAA9369C6
公開範圍： 完全公開
危害等級： 中等
檔案長度： 363,520 位元組
感染系統： Win9X以上系統
開發工具： Microsoft Visual C++ 6.0
加殼類型： ASPack 2.12 -> Alexey Solodovnikov
命名對照： 無
病毒描述：
該病毒運行後，衍生病毒檔案到系統目錄下。添加註冊表啟動項，以達到開機載入病毒體的目的。連線某網址，下載病毒檔案到本機運行，添加系統服務項，插入IE的BHO對象。並衍生檔案到%System32\Drivers%目錄下，造成卸載困難。行為分析：
1、衍生下列副本與檔案
%Program Files%\CNNIC
%Program Files%\CNNIC\Cdn\Images\
%Program Files%\CNNIC\Cdn\Update\
%Program Files%\CNNIC\Cdn\cdnaux.dll
%Program Files%\CNNIC\Cdn\cdnforie.dll
%Program Files%\CNNIC\Cdn\cdnprh.dll
%Program Files%\CNNIC\Cdn\cdnunins.exe
%Program Files%\CNNIC\Cdn\cdnup.exe
%Program Files%\CNNIC\Cdn\idnconvs.dll
%Program Files%\CNNIC\Cdn\cdnvers.dat
%Program Files%\CNNIC\Cdn\src.dat
%WINDOWS\system32%\cdndisp.tmp
%WINDOWS\system32%\cdnns.dll
%WINDOWS\system32%\cdnprot.dat
%WINDOWS\system32\drivers%\cdnprot.sys
2、下載檔案列表
%Documents and Settings\用戶名\Local Settings\Temp\%1C
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdn.dll
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnaux.dll
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnforie.dll
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnins.dll
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnprh.dll
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnprot.dat
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnprot.sys
%Documents and Settings\用戶名\Local Settings\Temp\%1C\idnconvs.dll
%Documents and Settings\用戶名\Local Settings\Temp\%1C\setup.exe
%Documents and Settings\用戶名\Local Settings\Temp\%1C\cdnup.exe
2、新建註冊表鍵值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\CdnCtr鍵值: 字元串:"%ProgramFiles%\CNNIC\Cdn\cdnup.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion
\Explorer\Browser Helper Objects鍵值: 字元串: “%programfiles%\cnnic\cdn\cdnforie.dll”
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\cdnprot\DescriptionName鍵值: 字元串: "cdnprot"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\cdnprot\ImagePath
鍵值: 類型: REG_EXPAND_SZ 長度: 29 (0x1d) 位元組system32\drivers\cdnprot.sys.
3、連線下列網址
update.*****.cn(***.208.170.72)
jump.*****.cn:80(***.241.97.33)
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
cdnup.exe
(2) 刪除病毒衍生檔案
%Program Files%\CNNIC\
%WINDOWS\system32%\cdndisp.tmp
%WINDOWS\system32%\cdnns.dll
%WINDOWS\system32%\cdnprot.dat
%WINDOWS\system32\drivers%\cdnprot.sys
%Documents and Settings\用戶名\Local Settings\Temp\%1C\
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\CdnCtr鍵值: 字元串:"%ProgramFiles%
\CNNIC\Cdn\cdnup.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion
\Explorer\Browser Helper Objects鍵值: 字元串: “%programfiles%\cnnic\cdn\cdnforie.dll”
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\cdnprot\DescriptionName鍵值: 字元串: "cdnprot"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
\cdnprot\ImagePath鍵值: 類型: REG_EXPAND_SZ 長度: 29 (0x1d) 位元組system32\drivers\cdnprot.sys.
