pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
1)病毒运行后，创建线程，释放配置文件%SystemRoot%\Tasks\bQduFebhDm3Gxtunb.ico,从自身读取配置信息并解密。
2)释放%SystemRoot%\Tasks\Ces5WqX3ApQMPmMbYZUxPYh.inf动态库文件。
3)把%SystemRoot%\system32\comres.dll移动到%SystemRoot%\system32目录下，并重命名BJusSQfKzY4fRMcWtcMZ.dll,对%SystemRoot%\system32\comres.dll以加节的方式进行感染，掉用sfc_os.#5去掉%SystemRoot%\system32\comres.dll的系统保护。
4)用感染后的BJusSQfKzY4fRMcWtcMZ.dll替换掉comres.dll，最后删除%SystemRoot%\system32\comres.dll；当被感染的comres.Dll 被系统调用后，会创建线程，此线程读取配置文件bQduFebhDm3Gxtunb.ico。
5)加载动态库文件%SystemRoot%\Tasks\Ces5WqX3ApQMPmMbYZUxPYh.inf文件，设置自己的权限"SeDebugPrivilege"，以提升自己的权限，监视游戏进程，获取游戏密码等信息，连接网络，发送到指定地址。
6)查找文件%SystemRoot%\system32\VErCLSID.exe，如果找到，删除该文件。
7)调用cmd.exe /c del，删除自身。
病毒创建文件：
%SystemRoot%\Tasks\bQduFebhDm3Gxtunb.ico
%SystemRoot%\Tasks\Ces5WqX3ApQMPmMbYZUxPYh.Inf
病毒修改文件：
%SystemRoot%\system32\comres.dll
病毒删除文件：
%SystemRoot%\system32\VErCLSID.exe
病毒创建注册表：
HKEY_LOCAL_MACHINE\Software\microsoft\windows\currentversion\Explorer\shellexecutehooks{F42FCDA4-76C1-4827-9BC3-1C95ADBD6035}
HKEY_CLASSES_ROOT\CLsID\{F42FCDA4-76C1-4827-9BC3-1C95ADBD6035}\InprocServer32%SystemRoot%\Tasks\Ces5WqX3ApQMPmMbYZUxPYh.Inf
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
