Worm.Win32.Agent.t蠕虫样本分析

　　病毒名称： Worm.Win32.Agent.t

　　病毒类型： 蠕虫类

　　文件 MD5： C4BFC29229607CBEA877CBC40EB5D098

　　文件长度： 脱壳前52,736 字节，脱壳后145,920 字节

　　感染系统： Windows98以上版本

　　开发工具： Borland C++ 1999

　　加壳类型： PECompact 2.x -> Jeremy Collake

　　命名对照： 趋势[TROJ_DELF.JIP]SOPHOS[Mal/Behav-097]

　　NOD32[a variant of Win32/Agent.NAU worm]IKARUS[Worm.Win32.Agent.t]

　　AVG[Agent.FTJ]AVAST[Win32:Delf-DTM [Wrm]]

　　病毒描述：

　　该病毒运行后，衍生病毒副本到系统多个目录下，添加注册表多处自启动项以跟随系统引导病毒体。连接网络获取病毒更新地址以下载病毒体到本机运行。下载的病毒程序包含后门程序、蠕虫程序、木马程序等。修改注册表相关键值，以隐藏病毒体，搜索除C以外的d-z个逻辑驱动器，在其根目录下衍生自动运行文件及病毒副本，当用户双击盘符时，即激活病毒体。病毒衍生的程序会下载其它病毒，从而造成连锁反应，严重情况下，可造成用户down机.

　　行为分析：

　　1、病毒衍生文件

　　%WinDir%\病毒副本.exe

　　%WinDir%\112.exe 20,480 字节

　　%WinDir%\121.exe 25,088 字节

　　%WinDir%\123.exe 22,993 字节

　　%WinDir%\444.exe 234,496 字节

　　%WinDir%\817.exe 143,360 字节

　　%WinDir%\concmd.dll 4,096 字节

　　%WinDir%\netcom.dll 237 字节

　　%System32%\449.exe 13,878 字节

　　%WinDir%\Temp\~myC.tmp 176,128 字节

　　%System32%\dirvers\2dfgbu9.sys 17,664 字节

　　%System32%\dirvers\acpidisk.sys 199,268 字节

　　%System32%\dirvers\mjaife1jj.sys 20,352 字节

　　%Documents and Settings%\当前用户名\LOCALS~1\Temp\install.exe

　　2、病毒删除的注册表项:

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSConfig

　　Value: String: "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto"

　　3、病毒修改的注册表项：

　　4、病毒添加的注册表：

　　5、连接网络下载病毒体：

　　病毒更新地址及内容:

　　代码分析：

      创建互斥体

      创建注册表键值