pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、病毒提升自身权限,获取进程快照,查找是否存在梦幻西游主进程“my.exe”,若存在则结束my.exe进程;
2、获取临时文件夹路径,读取自身资源,创建文件%Temp%\kb906234.sve(随机名);
3、读取注册表,查找梦幻西游安装路径。对应注册表项为:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\梦幻西游_is1
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache;
4、如果找到游戏安装目录,则将%Temp%\kb906234.sve复制为X\mfc42.sve(X为游戏安装目录),并设置文件属性为隐藏;
5、如果没有找到游戏安装目录,则将%Temp%\kb906234.sve复制为%ProgramFiles%\Common Files\System\kb906234.bwb;
6、获取系统路径%SystemRoot%\system32,查找动态库文件dsound.dll,将其复制为dsound.dll.dat。完成后读取%Temp%\kb906234.sve资源,以添加区段改变入口点的方法感染dsound.dll.dat;
7、调用sfc_os.dll的#5函数关闭Windows文件系统的保护;
8、把正常系统文件%SystemRoot%\system32\dsound.dll改名为%SystemRoot%\system32\dsound.dll.FTZX(随机名);%SystemRoot%\system32\dllcache\dsound.dll改名为%SystemRoot%\system32\dllcache\dsound.dll.FTZX;
9、将已被感染的%SystemRoot%\system32\dsound.dll.dat复制为%SystemRoot%\system32\dllcache\dsound.dll,完成后再将其改名为%SystemRoot%\system32\dsound.dll,完成后删除%Temp%\kb906234.sve;
10、创建批处理文件%Temp%\tempVidio.bat,删除病毒原文件和批处理自身;
12、游戏运行后会加载被感染的动态库文件%SystemRoot%\system32\dsound.dll;被感染的动态链接库加载后,运行被病毒加入的区段代码,盗取用户网络游戏信息,并传送至黑客指定网址。
病毒创建文件:
%Temp%\kb906234.sve
X\mfc42.sve
%ProgramFiles%\Common Files\System\kb906234.bwb
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.FTZX
%SystemRoot%\system32\dllcache\dsound.dll.FTZX
%Temp%\tempVidio.bat
病毒感染文件:
%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|