pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
|
2008-10-15 17:00 |
|
pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
该样本程序被执行后，拷贝自身到目录%systemroot%\Tasks\下并重命名为“kav32.exe”，使用批处理启动自身；在同一目录下释放脚本文件“pig.vbs” ，动态库文件“wsock32.dll”以及“安装.bat”，其中“pig.vbs”的内容如下：
| Quote: | On Error Resume Next
Set rs=createObject("Wscript.shell")
rs.run "%windir%\Tasks\kav32.exe",0 |
|
修改如下注册表健值使得开机自启动，后调用批处理执行自删除。
| Quote: | 项：
HKLM\SOFTWARE\Microsoft\ActiveSetup\InstalledComponents\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}\
键值：stubpath
指向数据：%windir%\Tasks\pig.vbs |
|
病毒程序“kav32.exe”运行后，执行以下动作
遍历进程查找如下进程，如存在则强制结束：
| Quote: | 360tray.exe
Iparmor.exe
WEBSCANX.EXE
TBSCAN.EXE
TrojanHunter.exe
THGUARD.EXE
FWMon.exe
mmsk.exe
vptray.exe |
|
查找窗口名为如下字符的窗口，通过向其发送相关消息使其关闭。
| Quote: | 专杀
监视
监控
后门
拦截
杀毒
Worm
卡巴斯基
超级巡警
江民
离线升级包
金山
nod32
process
进程
进 程
检测
防火墙
主动防御
微点
瑞星
狙剑
上报
系统安全
绿鹰
安全卫士
举报
举 报 |
|
感染以“html”,“htm”,“asp”,“aspx”,“php”,“jsp”扩展名文件；删除以“gho”扩展名的文件防止通过ghost进行系统恢复。
以当前机器的IP地址为参考，以“administrator”为用户名对局域网中其他机器进行密码猜解。如果成功则复制病毒副本“kav32.exe”到对方机器的共享“C”、“D”、“E”、“F”盘中，使用“at命令”等待“1分钟”后执行病毒拷贝，如果执行失败再次调用此命令等待“2分钟”后执行。
病毒猜解的密码字典如下：
| Quote: | xp
home
love
123
nn
root
administrator
test
admin
guest
alex
user
game
123456movie
time
yeah
money
xpuser
hack
enter
new
password
111
123456
qwerty
test
abc123
memory
12345678
bbbbbb
88888
caonima
5201314
1314520
asdfgh
alex
angel
null
asdf
baby
woaini
movie |
|
通过查找%ProgramFiles%的环境变量获得“winrar”安装路径，遍历所有分区下的“.rar”,“.zip”,“.tgz”,“.cab”,“.tar”文件，后台调用“winrar”程序，执行命令“\RAR.exe -ep a ”把病毒副本“安装.bat”压缩进压缩包，诱使用户点击。
查找hosts文件写入如下数据：
遍历各磁盘查看是否有“autorun.inf”文件，如果有将其删除并写入新的“autorun.inf”，创建“recycle.{645FF040-5081-101B-9F08-00AA002F954E}”文件夹，在该文件夹内写入病毒副本“kav32.exe”，设置上述文件为“只读”、“系统”、“隐藏”属性。
遍历所有文件夹并且将“%systemroot%\Tasks\wsock32.dll ”复制到每个文件夹下，设其属性为“隐藏”，当该文件夹下的PE文件调用系统wsock32.dll导出函数时，会首先调用同文件夹下的wsock32.dll，联网下载病毒程序。
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
|
2008-10-15 17:03 |
|
|
