pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
该样本程序被执行后，在%SystemRoot%\system32目录下释放病毒文件1.pif；使用API函数WinExec运行该程序；将%SystemRoot%\system32\urlmon.dll拷贝到同一目录下，重命名为ddurl.dll；加载运行动态库ddurl.dll动态获取API函数URLDownloadToFileA地址，使用该函数访问恶意网站http://sdyt888.cn/log1.gif将其他病毒程序下载到本地C:\1.pif并运行；
1.pif运行后，遍历进程查找my.exe将其关闭；在%SystemRoot%\system32目录下释放动态库bjrvm.dll，修改文件属性为隐藏、系统；使用API函数LoadLibraryA加载该动态库；以命令行的方式将1.pif删除；
bjrvm.dll加载运行后，创建名为“__B_MH”的互斥体对象，防止进程中有多个该动态库在运行；在%SystemRoot%\system32目录下释放驱动文件mseion.sys和动态库msepbe.dll，修改文件属性为隐藏、系统；使用API函数LoadLibraryA加载动态库msepbe.dll；遍历进程查找360Tray.exe、360Safe.exe、AntiArp.exe、QQDoctor.exe、QQDoctorMain.exe、killer_Gdwli32.exe将其关闭；调用SCM写注册表，将驱动程序mseion.sys注册成服务，使用相关API函数启动被注册的服务以加载驱动，驱动加载成功后删除驱动文件mseion.sys；驱动的作用是：作为键盘驱动程序的上层过滤驱动；遍历进程查找explorer.exe，申请内存空间将动态库bjrvm.dll写入，通过远程线程激活病毒代码实现代码注入逃避常规杀毒软件的查杀；枚举窗口查找梦幻的登录窗口，通过驱动程序记录键盘操作以此来获取该网络游戏的帐号、密码以及其他私人信息，通过HTTP协议将木马所截获信息发送到盗号者收信空间中；
msepbe.dll运行后，通过全局钩子试图将自身注入到所有进程中；并修改如下注册表健值使进程启动时自动加载如下病毒动态库；
| Quote: | 项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
健值：AppInit_DLLs
指向数据：wfhyt.dll,kghk.dll,ethsh.dll,stehs.dll,sthth.dll,frntrn.dll,qrhhb.dll,drghszd.dll,fngn.dll,gjjte.dll,xgnfn.dll,xfgnhcgfm.dll,serger.dll,bnxnb.dll,fxgnfx.dll,jzijj.dll,xfgnfx.dll,serghjm.dll,thsddh.dll,xbcvxb.dll,zfdzb.dll,xdndn.dll,xdfntt.dll,hgfhk.dll,dnteh.dll,xfng.dll,njritc.dll,chmfcmh.dll,jwlah.dll,gmnait.dll,hfjg.dll,thurh.dll,mgmgmm.dll,oqrthc.dll,fehom.dll,jyjlt.dll,ijatnaw.dll,sehhter.dll,fhjfg.dll,zdbdb.dll,ydgn.dll,dbfb.dll,fjnbv.dll,wmsat.dll,setrhes.dll,cdxbfxdb.dll,xfgnxfn.dll,gjkhj.dll,xdhdg.dll,rhs.dll,mrjhtjd.dll,zdbfbd.dll,fjyjy.dll,fxnfnh.dll,bjrvm.dll,ektvm.dll,rdthr.dll,rgfjj.dll,dscef.dll,crugd.dll,lariytrz.dll,hjaiq.dll,kduy.dll,hkfgh.dll,awef.dll,dfhsh.dll,msepbe.dll, |
|
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
