Win32.Troj.Agent.tr
病毒名称(中文):
覆盖式下载器
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
木马下载器
病毒长度:
1026560
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个下载者木马，它采用覆盖感染的方式感染系统文件以达到随系统启动而启动。它会破坏卡巴斯基、360安全卫士等安全软件的正常运行，然后下载其它恶意程序到本机运行。
1.程序运行之后会首先调用GetModuleFileNameA获取自己的完整路径以得到自身的文件名。
2.判定自己的文件名是否为下面几个文件中的一个
conime.exe，internat.exe，ctfmon.exe，explorer.exe
3.调用GetFileAttributes判定%systemRoot%\system32\dllcache中同名的文件是否存在，假如存在则调用WinExec将%systemRoot%\system32\dllcache中对应的程序调用启动。
4.创建线程，调用FindWindowA循环查找窗口。假如找到WindowsName为"Windows文件保护"，WindowsClass名为"#32770"的窗口则调用ShowWindow隐藏该窗口。
5.创建线程，假如发现有360Safe.exe和360Tray.exe则直接结束改进程。
6。假如发现有AVP.exe则修改系统时间为2001年导致卡巴失效
7.连接http://www.******.com/*****.txt下载一个文本，该文本为要下载的病毒列表
而后该程序会按照该列表中的网址下载病毒并运行。
