病毒标签：
病毒名称： Trojan-Downloader.Win32.Agent.ue
中文名称： 落雪变种
病毒类型： 木马
文件 MD5： D66859A23DA410C0CA9E8DAF387565B9
公开范围： 完全公开
危害等级： 5
文件长度： 19,968 字节
感染系统： windows98以上版本
开发工具： Microsoft Visual C++ 6.0 DLL
加壳类型： tElock 0.99 - 1.0 private
命名对照： 毒霸[Win32.TrojDownloader.Agent.ue]
病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件，修改注册表，添加启动项，以达到随机启动的目的，连接网络，下载大量病毒文件，并自动运行，修改.exe文件的关联文件，使可exe文件无法正常运行。
行为分析：
1、病毒运行后衍生病毒文件，连接网络下量病毒文件，并自动运行：
%Program Files%Common Filesiexplore.pif
%Program Files%Internet Exploreriexplore.com
%WINDOWS%1.com
%WINDOWS%608769.dll
%WINDOWS%608769m.bmp
%WINDOWS%exeroute.exe
%WINDOWS%explorer.com
%WINDOWS%finder.com
%WINDOWS%kb608769m.log
%WINDOWS%winlogon.exe
%system32%command.pif
%system32%dlmain.dll
%system32%dlmon.dll
%system32%dxdiag.com
%system32%finder.com
%system32%msconfig.com
%system32%regedit.com
%system32%rundll32.com
2、添加启动项，以达到随机启动的目的：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
键值: 字串: "Trojan Program "="C:WINDOWSWINLOGON.EXE"
HKEY_LOCAL_MACHINESOFTWAREClasses.exe@
新建键值: 字串: "winfiles"
原键值: 字串: "exefile"
HKEY_LOCAL_MACHINESOFTWAREClasses.bfcShellNewCommand
新建键值: 字串: "%SystemRoot%system32rundll32.com %SystemRoot%system32 syncui.dll,Briefcase_Create %2!d! %1"
原键值: 字串: "%SystemRoot%system32rundll32.exe %SystemRoot%system32 syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINESOFTWAREClasses.lnkShellNewCommand
新建键值: 字串: "rundll32.com appwiz.cpl,NewLinkHere %1"
原键值: 字串: "rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINESOFTWAREClassesApplications
iexplore.exeshellopencommand@
新建键值: 字串: ""C:Program FilesInternet Exploreriexplore.com" %1"
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand@
新建键值: 字串: ""C:Program FilesInternet Exploreriexplore.com""
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe""
HKEY_LOCAL_MACHINESOFTWAREClassescplfileshellcplopencommand@
新建键值: 字串: "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原键值: 字串: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINESOFTWAREClassesDriveshellfindcommand@
新建键值: 字串: "%SystemRoot%explorer.com"
原键值: 字串: "%SystemRoot%explorer.exe"
HKEY_LOCAL_MACHINESOFTWAREClassesdunfileshellopencommand@
新建键值: 字串: "%SystemRoot%system32rundll32.com NETSHELL.DLL, InvokeDunFile %1"
原键值: 字串: "%SystemRoot%system32rundll32.exe NETSHELL.DLL, InvokeDunFile %1"
HKEY_LOCAL_MACHINESOFTWAREClassesftpshellopencommand@
新建键值: 字串: ""C:Program FilesInternet Exploreriexplore.com" %1"
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopencommand@
新建键值: 字串: ""C:Program FilesInternet Exploreriexplore.com" -nohome"
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopennewcommand@
新建键值: 字串: ""C:Program Filescommon~1iexplore.pif" %1"
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellprintcommand@
新建键值: 字串: "rundll32.com %SystemRoot%system32mshtml.dll,PrintHTML "%1""
原键值: 字串: "rundll32.exe %SystemRoot%system32mshtml.dll,PrintHTML "%1""
HKEY_LOCAL_MACHINESOFTWAREClassesHTTPshellopencommand@
新建键值: 字串: ""C:Program Filescommon~1iexplore.pif" -nohome"
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClassesinffileshellInstallcommand@
新建键值: 字串: "%SystemRoot%System32rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
原键值: 字串: "%SystemRoot%System32rundll32.exe setupapi,InstallHinfSection
DefaultInstall 132 %1"
HKEY_LOCAL_MACHINESOFTWAREClassesInternetShortcutshellopencommand@
新建键值: 字串: "finder.com shdocvw.dll,OpenURL %l"
原键值: 字串: "rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscrfileshellinstallcommand@
新建键值: 字串: "finder.com desk.cpl,InstallScreenSaver %l"
原键值: 字串: "rundll32.exe desk.cpl,InstallScreenSaver %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscriptletfileShellGenerate Typelibcommand@
新建键值: 字串: ""C:WINDOWSsystem32finder.com"
C:WINDOWSsystem32scrobj.dll,GenerateTypeLib "%1""
原键值: 字串: ""C:WINDOWSsystem32RUNDLL32.EXE" C:WINDOWSsystem32scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINESOFTWAREClassestelnetshellopencommand@
新建键值: 字串: "finder.com url.dll,TelnetProtocolHandler %l"
原键值: 字串: "rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINESOFTWAREClassesUnknownshellopenascommand@
新建键值: 字串: "%SystemRoot%system32finder.com %SystemRoot%system32shell32.dll,OpenAs_RunDLL %1"
原键值: 字串: "%SystemRoot%system32finder.exe %SystemRoot%system32shell32.dll,OpenAs_RunDLL %1"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet@
新建键值: 字串: "iexplore.pif"
原键值: 字串: "IEXPLORE.EXE"
3、修改.exe文件的关联文件，使可exe文件无法正常运行。
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
===================================================
手动解决方法：
手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用“进程管理”关闭病毒进程
(2) 删除病毒文件
%Program Files%Common Filesiexplore.pif
%Program Files%Internet Exploreriexplore.com
%WINDOWS%1.com
%WINDOWS%608769.dll
%WINDOWS%608769m.bmp
%WINDOWS%exeroute.exe
%WINDOWS%explorer.com
%WINDOWS%finder.com
%WINDOWS%kb608769m.log
%WINDOWS%winlogon.exe
%system32%command.pif
%system32%dlmain.dll
%system32%dlmon.dll
%system32%dxdiag.com
%system32%finder.com
%system32%msconfig.com
%system32%regedit.com
%system32%rundll32.com
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRun"键值: 字串: "Trojan Program
"="C:WINDOWSWINLOGON.EXE"
HKEY_LOCAL_MACHINESOFTWAREClasses.exe@
新建键值: 字串: "winfiles"
原键值: 字串: "exefile"
HKEY_LOCAL_MACHINESOFTWAREClasses.bfcShellNewCommand
新建键值: 字串: "%SystemRoot%system32rundll32.com
%SystemRoot%system32 syncui.dll,Briefcase_Create %2!d! %1"
原键值: 字串: "%SystemRoot%system32rundll32.exe
%SystemRoot%system32 syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINESOFTWAREClasses.lnkShellNewCommand
新建键值: 字串: "rundll32.com appwiz.cpl,NewLinkHere %1"
原键值: 字串: "rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINESOFTWAREClassesApplications
iexplore.exeshellopencommand@
新建键值: 字串: ""C:Program FilesInternet Explorer
iexplore.com" %1"
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{871C5380-
42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand@
新建键值: 字串: ""C:Program FilesInternet Explorer
iexplore.com""
原键值: 字串: ""C:Program FilesInternet Exploreriexplore.exe""
HKEY_LOCAL_MACHINESOFTWAREClassescplfileshell
cplopencommand@
新建键值: 字串: "rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原键值: 字串: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINESOFTWAREClassesDriveshellfindcommand@
新建键值: 字串: "%SystemRoot%explorer.com"
原键值: 字串: "%SystemRoot%explorer.exe"
HKEY_LOCAL_MACHINESOFTWAREClassesdunfileshellopencommand@
新建键值: 字串: "%SystemRoot%system32rundll32.com NETSHELL.DLL, InvokeDunFile %1"
原键值: 字串: "%SystemRoot%system32rundll32.exe NETSHELL.DLL, InvokeDunFile %1"
HKEY_LOCAL_MACHINESOFTWAREClassesftpshellopencommand@
新建键值: 字串: ""C:Program FilesInternet Explorer
iexplore.com" %1"
原键值: 字串: ""C:Program FilesInternet Explorer
iexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshell
opencommand@
新建键值: 字串: ""C:Program FilesInternet Explorer
iexplore.com" -nohome"
原键值: 字串: ""C:Program FilesInternet Explorer
iexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshell
opennewcommand@
新建键值: 字串: ""C:Program Filescommon~1iexplore.pif" %1"
原键值: 字串: ""C:Program FilesInternet Explorer
iexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellprintcommand@
新建键值: 字串: "rundll32.com %SystemRoot%system32
mshtml.dll,PrintHTML "%1""
原键值: 字串: "rundll32.exe %SystemRoot%system32
mshtml.dll,PrintHTML "%1""
HKEY_LOCAL_MACHINESOFTWAREClassesHTTPshellopen
command@
新建键值: 字串: ""C:Program Filescommon~1iexplore.pif" -nohome"
原键值: 字串: ""C:Program FilesInternet Explorer
iexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClassesinffileshellInstallcommand@
新建键值: 字串: "%SystemRoot%System32rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
原键值: 字串: "%SystemRoot%System32rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"
HKEY_LOCAL_MACHINESOFTWAREClassesInternetShortcut
shellopencommand@
新建键值: 字串: "finder.com shdocvw.dll,OpenURL %l"
原键值: 字串: "rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscrfileshellinstallcommand@
新建键值: 字串: "finder.com desk.cpl,InstallScreenSaver %l"
原键值: 字串: "rundll32.exe desk.cpl,InstallScreenSaver %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscriptletfileShellGenerate Typelibcommand@
新建键值: 字串: ""C:WINDOWSsystem32finder.com" C:WINDOWSsystem32scrobj.dll,GenerateTypeLib "%1""
原键值: 字串: ""C:WINDOWSsystem32RUNDLL32.EXE" C:WINDOWSsystem32scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINESOFTWAREClassestelnetshellopencommand@
新建键值: 字串: "finder.com url.dll,TelnetProtocolHandler %l"
原键值: 字串: "rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINESOFTWAREClassesUnknownshellopenascommand@
新建键值: 字串: "%SystemRoot%system32finder.com %SystemRoot%system32shell32.dll,OpenAs_RunDLL %1"
原键值: 字串: "%SystemRoot%system32finder.exe %SystemRoot%system32shell32.dll,OpenAs_RunDLL %1"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet@
新建键值: 字串: "iexplore.pif"
原键值: 字串: "IEXPLORE.EXE"