Trojan-Downloader.Win32.VB.afs

Trojan-Downloader.Win32.VB.afs，木马类病毒，感染 Win9X以上版本系统，危害等级中等。感染后，病毒新建文件夹，并访问2**.100.33.13主机，下载病毒文件，建立计划任务，执行病毒程序。可安装杀毒软件清除，也可直接删除病毒文件及系统计划任务。

Trojan-Downloader.Win32.VB.afs介绍

Trojan-Downloader.Win32.VB.afs，木马类病毒，感染 Win9X以上版本系统，危害等级中等。感染后，病毒新建文件夹，并访问2**.100.33.13主机，下载病毒文件，建立计划任务，执行病毒程序。可安装杀毒软件清除，也可直接删除病毒文件及系统计划任务。

Trojan-Downloader.Win32.VB.afs病毒描述

该病毒运行后，建立文件夹%System32%microsoft和%Program Files%pcast。并在pcast文件夹下释放两个文件分别为download.ini和updat.exe.而后病毒会访问2**.100.33.13，下载病毒文件到%documents and SettingsAdministratorLocal SettingsTemp%，并会打开计划任务，添加一个名为DM_Install_Program.jobdmremotesetup的任务。执行路径为%documents and settings当前用户名localsettingstemp101577.exe，该病毒对用户有一定危害。

Trojan-Downloader.Win32.VB.afs行为分析

1、释放文件夹及相关文件：

%System32%microsoftProtectS-1-5-18User

76d00f4a-dc1c-481e-86be-5c4366c95531

%System32%microsoftProtectS-1-5-18UserPreferred

%System32%microsoftCrypto

%System32%microsoftProtect

%Program Files%pcastPodcastbarMiniownload.ini

%Program Files%pcastPodcastbarMiniupdat.exe

%documents and SettingsAdministratorLocal SettingsTemp%1.exe

%documents and SettingsAdministratorLocal SettingsTemp%101577.exe

2、新建注册表项：

HKEY_LOCAL_MACHINESOFTWAREsharehelperInstallOEMURL

值: 字符串: "http://ulink4.******.com/setup/iebar.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

SharedAccessParametersFirewallPolicyStandardProfile

AuthorizedApplicationsList

值: 字符串: "C:DOCUME~1ADMINI~1LOCALS~1Temp101577.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

SharedAccessParametersFirewallPolicyStandardProfile

AuthorizedApplicationsList%Program Files

pcastPodcastbarMini%update.exe"

值: 字符串: "C:Program FilespcastPodcastbarMiniupdate.exe"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

SharedAccessParameters

FirewallPolicyStandardProfileAuthorizedApplicationsList

值: 字符串: "%DOCUME~1当前用户名LOCALS~1Temp101577.exe

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess

ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList

值: 字符串: "%Program FilespcastPodcastbarMiniupdate.exe

3、病毒运行后连接下列地址：

6*.183.15.233

2**.100.33.13

4、病毒运行后添加一项计划任务：

描述发行商映象路径

DM_Install_Program.jobdmremotesetup1000 Oaks%

documents and settings当前用户名local settingstemp101577.exe

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

Trojan-Downloader.Win32.VB.afs清除方案

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件：

%System32%microsoftProtectS-1-5-18User

76d00f4a-dc1c-481e-86be-5c4366c95531

%System32%microsoftProtectS-1-5-18UserPreferred

%System32%microsoftCrypto

%System32%microsoftProtect

%Program Files%pcastPodcastbarMiniownload.ini

%Program Files%pcastPodcastbarMiniupdat.exe

%documents and SettingsAdministratorLocal SettingsTemp%1.exe

%documents and SettingsAdministratorLocal SettingsTemp%101577.exe

(3) 删除病毒添加的计划任务。

(4) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINESOFTWAREsharehelperInstallOEMURL

值: 字符串: "/setup/iebar.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesSharedAccess

ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList

值: 字符串: "C:DOCUME~1ADMINI~1LOCALS~1Temp101577.exe"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesSharedAccess

ParametersFirewallPolicyStandardProfileAuthorizedApplications

List%Program FilespcastPodcastbarMini%update.exe"

值: 字符串: "C:Program FilespcastPodcastbarMiniupdate.exe"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess

ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList

值: 字符串: "%DOCUME~1当前用户名LOCALS~1Temp101577.exe

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess

ParametersFirewallPolicyStandardProfileAuthorizedApplicationsList

值: 字符串: "%Program FilespcastPodcastbarMiniupdate.exe