pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、创建进程快照,查找GacRunner.dll进程,如果找到,则结束该进程;
2、打开注册表项HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache,遍历该注册表项查找launcher.dll、GacRunner.dll、dtws.exe,用以查找游戏安装目录;在木马原文件目录下创建动态库文件LongIDksuser.dll,并设置文件属性为系统隐藏;
3、如果在注册表项中没有找到游戏的安装目录,木马会创建线程,遍历所有磁盘动器查找文件game.wdf,如果找到,会在该目录下的bin\release文件夹下创建动态库文件ksuser.dll,游戏启动过程中,优先启动自己目录下的文件,用以替换正常系统目录下的ksuser.dll启动;
4、木马在%Temp%目录下创建动态库5010218n23.dll和配置文件maindll.ini;
5、打开互斥体“killmulit”,如果没有找到,创建进程快照查找avp.exe和qqq11.exe进程;
6、如果没有找到两个进程,病毒会以"wwhko","wwhkf"为参数加载该动态库,建立消息钩子,盗取用户游戏账号等信息;
7、如果找到两个进程,木马会在%Temp%目录下创建文件n23d.dll,运行cmd命令,调用系统rundll32.exe以参数deleteself加载该动态库,,建立消息钩子,盗取用户游戏账号等信息,删除木马原文件;
8、游戏启动过程中,加载被感染的ksuser.dll,建立消息钩子,盗取用户游戏账号等信息;
病毒创建文件:
木马原文件所在目录\LongIDksuser.dll
游戏安装目录\bin\release\ksuser.dll
%Temp%\5010218n23.dll
%Temp%\maindll.ini
%Temp%\n23d.dll
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|