Trojan-Dropper.Win32.Delf.or行为分析

Answer 1

本文详细分析了名为Trojan-Dropper.Win32.Delf.or的恶意软件的行为模式。这种恶意软件的主要目的是在受害者系统上部署多个副本文件以及注册表键值，以实现其隐蔽的控制和后续活动。以下是其操作的详细内容：

首先，恶意软件创建了一系列在Windows系统中具有潜在危害的文件副本。这些文件被放置在系统关键路径下，如%Windir%和%System32%，旨在混淆系统并提供可执行入口点。这些文件包括tembay.exe, ly.exe, my.exe, wanmei.exe, wl.exe, 以及更多，其目的是在系统启动或用户操作时运行，可能执行未知恶意操作。

其次，恶意软件还创建了一系列注册表键值，用于在系统启动时自动执行特定程序。这些键值通过在HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER级别设置，指向恶意软件创建的文件路径，如twunk32.exe, iexpiore.exe, wanmei.exe, svcshare, spoclsv.exe, iexpl0re.exe等。这使得恶意软件在系统启动时便能自动激活，并执行预先设定的恶意行为。

此外，恶意软件还篡改了系统的描述、显示名称、图像路径等服务描述，以掩盖其真实身份，并在服务注册表中添加了恶意服务，如Server Advance和Windows DHCP Service，旨在进一步隐藏其活动，误导系统管理员。

恶意软件还通过HTTP GET请求从特定服务器获取病毒体地址，这些地址指向了名为wormcn.txt的文件。该文件包含了一个恶意程序列表，如cq.exe, ly.exe, my.exe, rx.exe, 等，这些程序随后被下载并执行，进一步扩展了恶意软件的破坏范围。

在执行过程中，恶意软件插入了线程到explorer.exe进程，如windhcp.ocx, userspi.dll, wsvbs.dll等，旨在实现对系统的深层次控制，如访问系统资源、执行恶意操作或安装额外的恶意软件。

值得注意的是，%System%是一个可变路径，恶意软件通过查询操作系统来决定当前System文件夹的位置，这使得其适应不同Windows版本的路径变化，增加了其攻击的灵活性和隐蔽性。

总结而言，Trojan-Dropper.Win32.Delf.or通过创建副本文件、注册表键值、篡改服务描述、获取和执行恶意程序，以及插入线程到关键进程等手段，实现其在系统中的隐蔽控制和恶意活动。这种行为模式对系统安全构成了严重威胁，用户应采取必要的安全措施，如安装防病毒软件、定期更新系统和应用程序、避免访问不可信的网站等，以防范此类恶意软件的侵扰。

扩展资料

该病毒运行后，病毒衍生文件到系统目录下，连接某服务器获得要下载病毒的地址到本机运行。添加注册表自动运行项与服务项以随机引导病毒体。该病毒主要为盗取用户游戏账号为主。包括征途、传奇、QQ、热血江湖等。