pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、病毒利用sc.exe打开服务,结束并删除cryptsvc服务,并且不让此服务随机启动,从而关闭系统认证保护功能;
2、查找临时文件夹路径,在%Temp%下创建文件TML4.tmp,提升自身进程权限;
3、建立进程快照,遍历进程查找explorer.exe,然后将TML4.tmp的进程注入explorer.exe,以达到隐藏自身进程目的;
4、获取系统路径,查找系统文件%SystemRoot%\system32\d3d9.dll,找到后将其复制为d3d9.dll.tmpz,并且重写该文件,完成后将系统文件d3d9.dll重命名为d3d9.dll.tmpx,并将感染后的%SystemRoot%\system32\d3d9.dll.tmpz复制为%SystemRoot%\system32\d3d9.dll和%SystemRoot%\system32\DllCache\d3d9.dll,DLLCache文件夹中原来正常d3d9.dll重命名为d3d9.dll.tmpx,完成后删除%SystemRoot%\system32\d3d9.dll.tmpx;
5、查找系统文件sfc-os.dll,破坏Windows文件保护。
6、建立进程快照,查找dragonNest.exe进程,找到则结束该游戏进程;
7、获取临时文件夹路径,创建批处理%Temp%\delself.bat批处理删除病毒源文件和自身。
8、游戏运行后会自动加载被病毒感染的%SystemRoot%\system32\d3d9.dll,该文件会让游戏程序加载TML4.tmp;
加载TML4.tmp文件后,创建消息钩子,获取用户帐号密码等信息,发送到黑客指定网址。
病毒创建文件:
%Temp%\TML4.tmp
%SystemRoot%\system32\d3d9.dll.tmpx
%SystemRoot%\system32\d3d9.dll.tmpz
%SystemRoot%\system32\DllCache\d3d9.dll.tmpx
%Temp%\delself.bat
病毒替换文件:
%SystemRoot%\system32\d3d9.dll
%SystemRoot%\system32\DllCache\d3d9.dll
SystemRoot%\system32\sfc-os.dll
病毒删除文件:
%SystemRoot%\system32\d3d9.dll.tmpx
%Temp%\delself.bat
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|