pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
该样本程序被执行后，在系统目录“%SystemRoot%\System32”下生成其动态库文件“cenbezn.dll”，修改注册表，建立动态库文件启动项，相关注册表项如下：
| Quote: | 项:“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
NT\CurrentVersion\Windows”
键：“AppInit_DLLs”
数据：“cenbezn.dll” |
|
利用函数“CopyFile”将自身复制至系统目录“%SystemRoot%\System32”下，并重命名为“cenbeznk.exe”，病毒将加参数“",98,"",89,"”运行“cenbeznk.exe” ，随后利用批处理自删除。
“cenbeznk.exe”启动后将多次尝试为其动态库简历启动项，并遍历窗口“ChiBiElementClient”，完成后将在自身所在目录下释放同名批处理文件，企图实现自删除，批处理如下：
| Quote: | :try
del "C:\windows\System32\cenbeznk.exe”"
if exist " C:\windows\System32\cenbeznk.exe " goto try
del %0 |
|
动态库“cenbezn.dll”被装载运行后，查找游戏进程“ElementClient.exe”，通过API函数“ReadProcessMomery”读取游戏相关模块数据来获取游戏的“帐号”、“密码”，通过“收信空间”的方式发至黑客指定页面。
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
