Win32/TrojanDropper.Agent.OGM

* virus ตัวนี้ผมได้ทดสอบไปหลายวันแล้วแต่ไม่ได้ up ขึ้น blog สักที
------------------------------------------------------------------------
How to remove Win32/TrojanDropper.Agent.OGM
(Detect by NOD32)
CRC32: 116E9C65
MD5: 171D1D4C2E89F69BF8F39BA1D77B8FA5
SHA-1: 34202E64FECC8E9869B3086EBF4DA0361AEDC840
==================================================
Aliases:
AhnLab-V3 5.0.0.2 2009.08.24 Win-Trojan/OnlineGameHack.12800.HF
AntiVir 7.9.1.3 2009.08.24 TR/Dldr.Agent.6144
Antiy-AVL 2.0.3.7 2009.08.24 Trojan/Win32.Agent2.gen
Authentium 5.1.2.4 2009.08.25 W32/Trojan2.IINC
Avast 4.8.1335.0 2009.08.24 Win32:Small-NAB
AVG 8.5.0.406 2009.08.24 Agent2.PAJ
BitDefender 7.2 2009.08.25 Generic.Malware.SBdld!.FB90E17B
CAT-QuickHeal 10.00 2009.08.24 Trojan.Agent2.chgj
ClamAV 0.94.1 2009.08.25 -
Comodo 2083 2009.08.25 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.0.12182 2009.08.25 Trojan.MulDrop.33242
eSafe 7.0.17.0 2009.08.24 Win32.TRDldr.Agent
eTrust-Vet 31.6.6698 2009.08.24 -
F-Prot 4.4.4.56 2009.08.24 W32/Trojan2.IINC
F-Secure 8.0.14470.0 2009.08.25 Trojan.Win32.Agent2.chgj
Fortinet 3.120.0.0 2009.08.24 W32/Agent2.CHGJ!tr
GData 19 2009.08.25 Generic.Malware.SBdld!.FB90E17B
Ikarus T3.1.1.68.0 2009.08.25 Trojan.Win32.Agent2
Jiangmin 11.0.800 2009.08.23 Trojan/Agent.cvrk
K7AntiVirus 7.10.826 2009.08.24 Trojan.Win32.Agent2.chgj
Kaspersky 7.0.0.125 2009.08.25 Trojan.Win32.Agent2.chgj
McAfee 5719 2009.08.24 PWS-Mmorpg!dg
McAfee+Artemis 5719 2009.08.24 PWS-Mmorpg!dg
McAfee-GW-Edition 6.8.5 2009.08.25 Heuristic.LooksLike.Win32.PasswordStealer.L
Microsoft 1.4903 2009.08.24 TrojanDropper:Win32/OnLineGames.FK
NOD32 4364 2009.08.24 Win32/TrojanDropper.Agent.OGM
Norman 2009.08.24 W32/Agent.PDGB
nProtect 2009.1.8.0 2009.08.24 Trojan/W32.Agent2.12800.F
Panda 10.0.0.14 2009.08.24 Trj/Zlob.KH
PCTools 4.4.2.0 2009.08.24 -
Prevx 3.0 2009.08.25 Medium Risk Malware
Rising 21.44.10.00 2009.08.25 Trojan.Win32.KillAV.bqg
Sophos 4.44.0 2009.08.25 Mal/Behav-112
Sunbelt 3.2.1858.2 2009.08.25 Trojan.Win32.Generic!BT
Symantec 1.4.4.12 2009.08.25 Trojan Horse
TheHacker 6.3.4.3.387 2009.08.25 Trojan/Agent2.chlo
TrendMicro 8.950.0.1094 2009.08.25 TROJ_CHGJ.A
VBA32 3.12.10.10 2009.08.25 Trojan.Win32.Agent2.chgj
ViRobot 2009.8.24.1899 2009.08.24 Trojan.Win32.Agent.12800.BX
VirusBuster 4.6.5.0 2009.08.24 Trojan.Agent2.EHC
-----------------------------------------------------------------------
virus ตัวนี้ผมไม่ทราบว่ามันทำอะไรกับระบบ หรือเป็นตัว ที่ virus ตัวอื่น download มาติดตั้งก็ไม่ทราบ
เพราะจากการทดสอบ แทบไม่ได้สร้างไฟล์อะไรเลย
เมื่อ virus ทำงาน ได้สร้างไฟล์ไว้ใน Temp แบบ Random xxxxxxxxxxxdon.dll
เช่น 43665312658don.dll , 2266671896don.dll
เรียกใช้ไฟล์ Rundll32.dll

มีการแก้ไข Registry
HKU\S-1-5-21-xxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxx\Software\Microsoft\Windows\CurrentVersion\Run\hivew: "C:\WINDOWS\system32\rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\xxxxxxxxxxdon.dll,Set1
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\xxxxxxxxxxdon.dll
------------------------------------------------------------------------
วิธีแก้ Win32/TrojanDropper.Agent.OGM แบบ manual
------------------------------------------------------------------------
ก็ไม่มีอะไรมากนะครับ
1. กดปุ่ม Ctrl + Alt +Del ปิด Process rundll32.dll

2. ใช้โปรแกรม Hijack This fix checked ที่บรรทัดนี้
HKU\S-1-5-21-xxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxx\Software\Microsoft\Windows\CurrentVersion\Run\hivew: "C:\WINDOWS\system32\rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\xxxxxxxxxxdon.dll,Set1
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\xxxxxxxxxxdon.dll

3. Click Start > Run พิมพ์ %temp% แล้ว Delete ไฟล์ ใน Temp หรือจะใช้ ATF Cleaner ก็ได้

============== == Testst by PeeTech =======================