pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、首先提升自身权限,创建进程快照,遍历进程查找dnlauncher.exe和DragonNest.exe进程,找到则结束游戏进程,查找注册表相关项找到游戏安装路径。
2、查找临时文件夹路径,在%Temp%下创建文件kb4205.bin,并将文件复制到%SystemRoot%\system目录下,并且重命名为kb4205.AXT,如果复制成功,则删除%Temp%下的kb4205.bin。
3、获取系统路径,查找系统文件%SystemRoot%\system32\d3d8thk.dll,找到后将其复制为d3d8thk.dll.dat,并且重写该d3d8thk.dll.dat文件,完成后将系统文件d3d8thk.dll重命名为d3d8thk.dll.POHC,并将感染后的%SystemRoot%\system32\d3d8.dll.dat复制为%SystemRoot%\system\d3d8thk.dll和%SystemRoot%\system32\DllCache\d3d8thk.dll,DLLCache文件夹中原来正常d3d8thk.dll重命名为d3d8thk.dll.POHC。
4、查找系统文件sfc-os.dll,破坏Windows文件保护。
5、获取临时文件夹路径,创建批处理%Temp%\tmpVidio.bat批处理删除病毒源文件和自身。
6、游戏运行后会自动加载被病毒感染的%SystemRoot%\system32\d3d8thk.dll,该文件会让游戏程序加载%SystemRoot%\system\kb4205.AXT
7、加载kb4205.AXT文件后,创建消息钩子,获取用户帐号密码等信息,发送到黑客指定网址。
病毒创建文件:
%Temp%\kb4205.bin
%SystemRoot%\system\kb4205.AXT
%SystemRoot%\system32\d3d8thk.dll.dat
%SystemRoot%\system32\d3d8thk.dll.POHC
%SystemRoot%\system32\DllCache\d3d8thk.dll.POHC
%SystemRoot%\system\d3d8thk.dll
%Temp%\tmpVidio.bat
病毒删除文件:
%Temp%\kb4205.bin
%Temp%\tmpVidio.bat
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|