Trojan-Dropper.Win32.Delf.anc行为分析

Answer 1

该恶意软件Trojan-Dropper.Win32.Delf.anc表现出以下活动:

在系统中生成以下副本和文件:


%Windir%\tembay.exe
%Windir%\ly.exe
...
%ProgramFiles%\Desktop_.ini
其中，文件位置包括%System32%\下的一些关键系统文件和%Windir%\下的可执行文件。


在注册表中创建新的启动项，以隐藏其活动:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\twin
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\2ls1essru
...


通过连接到服务器www.krvkr.com和www.whboy.net获取并下载病毒体，具体URL如wormcn.txt中所示:


http://www.krvkr.com/down/多款.exe文件


病毒通过插入到explorer.exe进程来运行恶意插件，如windhcp.ocx, userspi.dll和wsvbs.dll，利用%System%变量来定位系统文件夹。

这些行为表明，Trojan-Dropper.Win32.Delf.anc是一个具有隐蔽启动、文件复制和远程下载能力的恶意软件，旨在悄悄地在受害者的系统中执行恶意操作。