Board logo

标题: 盗号木马Trojan-PSW.Win32.OnLineGames.zzk [打印本页]
作者: pioneer     时间: 2008-5-2 21:24    标题: 盗号木马Trojan-PSW.Win32.OnLineGames.zzk

病毒名称

Trojan-PSW.Win32.OnLineGames.zzk

捕获时间

2008-05-02

病毒症状

　　该病毒是使用Delphi编写的盗号程序，由微点主动防御软件自动捕获，采用Upack加壳方式试图躲避特征码扫描，加壳后长度为31,343字节，图标为Windows默认可执行文件图标，病毒扩展名为exe，主要通过网页木马、文件捆绑方式传播。

病毒分析

　　该木马程序被激活后，在目录%programfiles%下释放文件iwell.exe；修改%systemroot%\system32\drivers\etc目录下hosts文件，修改文件属性为只读、隐藏、系统；通过API函数WinExec运行病毒程序iwell.exe；以批处理的形式将病毒原文件删除。

  Quote:
病毒修改的hosts文件内容如下：
127.0.0.1       localhost
127.0.0.1       www.dj8910.com
127.0.0.1       user1.33225.net
127.0.0.1       wx.uuzzvv.com
127.0.0.1       dd00.2008dajiafa.cn
127.0.0.1       www.aixiaoshuo.net
127.0.0.1       b.158dm.com
127.0.0.1       c.158dm.com
127.0.0.1       a.158dm.com
127.0.0.1       c.wacsy.com/new.txt
127.0.0.1       74.5460w.cn
127.0.0.1       ww.133av.com
127.0.0.1       ddd000000.feng6.us
127.0.0.1       m.feng6.us
127.0.0.1       d.feng6.us
127.0.0.1       down002.feng6.us
127.0.0.1       down001.feng6.us
127.0.0.1       down003.feng6.us
127.0.0.1       keeppure.cn
127.0.0.1       www.music100000.cn
127.0.0.1       www.chinallsr.cn
127.0.0.1       www.xiuxian888.cn
127.0.0.1       www.fyair.net
127.0.0.1       www.ck88866.com
127.0.0.1       www.game1861.cn
127.0.0.1       4w.chirenrou.cn
127.0.0.1       www.mbnc.us
127.0.0.1       www.mvoe.cn
127.0.0.1       w.117b.cn
127.0.0.1       w.338t.cn

　　iwell.exe运行后，在目录%temp%目录下释放病毒动态库*.tmp；将*.tmp拷贝到目录%systemroot%\system32下，重命名为HBKrnl.dll；使用API函数DeleteFileA将*.tmp删除；在目录%systemroot%\system32\drivers下释放驱动文件HBKernel.sys；调用SCM写注册表项将HBKernel.sys注册成名为HBKernel的服务，通过相关函数启动被注册的服务加载驱动；

  Quote:
项：HKLM\SYSTEM\CurrentControlSet\Services\HBKernel\
键值：DisplayName
指向数据：HBKernel Driver
键值：ImagePath
指向文件：\??\%systemroot%\system32\drivers\HBKernel.sys
键值：Start
指向数据：02

　　驱动被加载运行后，创建一病毒自启动项，每隔55ms去检测自启动项，如果不存在再重新建立；将“RUNDLL32.EXE C:\WINNT\system32\HBKrnl.dll,DllRegisterServer”作为参数，通过API函数CreateProcessA试图加载运行动态库HBKrnl.dll；HBKrnl.dll运行后，通过全局挂钩试图将HBKrnl.dll注入到所有进程中；通过相关API函数获取动态库所在模块名称，与梦幻西游my.exe进行比较，如果是则通过读取其内存获取网络游戏账号和密码以及其它私人信息，以收信空间的形式发送给黑客。

感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑

安全提示

　　已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”，请直接选择删除处理（如图1）；



如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-PSW.Win32.OnLineGames.zzk”，请直接选择删除（如图2）。



对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn