pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
(1)该样本执行后,首先提升自己为"SeDebugPrivilege"权限。创建进程快照,查找game.exe进程,若找到,就结束该进程。
(2)获取系统临时目录%Temp%,在该目录下创建KB9484.bin (可变)文件,并写入样本中的文件信息。
(3)获取系统目录%SystemRoot%System32,拷贝KB9484.bin文件到该目录下,并修改后缀为KB9484.NLS(可变)。
(4)安装钩子,创建%SystemRoot%System32%/d3d8thk.dll.dat文件。
(5)拷贝d3d8thk.dll.dat到目录%SystemRoot%System下 .
(6)遍历进程查找360tray.exe,conime.exe,iexplorer.exe,ctfmon.exe,explorer.exe进程。
(7)创建远程线程请求网络,等待网络控制。修改%SystemRoot%System/d3d8thk.dll.dat 为d3d8thk.dll。
(8)在临时目录下创建tempVidio.bat 文件,用于删除样本,跟自身。
病毒创建文件:
%Temp%/KB9484.bin
%SystemRoot%System32/KB9484.NLS
%SystemRoot%System32%/d3d8thk.dll.dat
%Temp%/tempVidio.bat
%SystemRoot%System/d3d8thk.dll
病毒删除文件:
样本自身
%Temp%/tempVidio.bat
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|