pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、病毒运行后,会在系统目录C:\windows目录下创建文件winsys.tmp和~324.tmp;
2、获取系统文件夹%SystemRoot%\system32,在该目录下创建DAT文件dxe.dat,用里面的加密字符来病毒连接解密网址;
3、调用系统文件rundll32.exe以参数“Run”加载~324.tmp;
4、~324.tmp加载后,首先删除病毒原文件自身;
5、创建进程快照,查找是否有360安全软件进程360tray.exe;如果没有,~324.tmp会在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows创建注册表项,实现C:\\WINDOWS\\winsys.tmp文件的自启动,在临时文件夹目录%Temp%下创建注册表文件a.reg,保存注册表的键值和路径;然后查找是否有"龙之谷"字符的窗口,然后发送消息到指定窗口;
6、如果找到360.tray进程,首先也会查找是否有"龙之谷"字符的窗口,发送消息到指定窗口;然后通过遍历注册表中HK_C_U\Software\Microsoft\Windows\ShellNoRoam\MUICache查找“Dragonhead Launcher”,找到龙之谷游戏的安装路径;
7、改写Dragonnest.exe,在游戏安装目录下找到动态库文件bvl32.dll,复制自身为bal32_.dll,并且将自身移动为~a.tmp,然后将病毒生成的winsys.tmp复制到游戏安装目录下并重命名为bvl32.dll,以替换正常的游戏文件;
8、创建线程,创建进程快照遍历进程查找是否有safeboxtray.exe,有则结束该进程;
9、游戏运行后,会调用被winsys.tmp感染的bvl32.dll,winsys.tmp运行后,会创建全局消息钩子,获取游戏的帐号和密码信息发送到黑客指定网址;
病毒创建文件:
%SystemRoot%\winsys.tmp
%SystemRoot%\~324.tmp
%Temp%\a.reg
%SystemRoot%\System32\dxe.dat
龙之谷游戏安装目录\bal32_.dll
龙之谷游戏安装目录\~a.tmp
病毒替换游戏文件:
将龙之谷游戏安装目录\bal32.dll替换为winsys.tmp
病毒创建注册表:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
名称:AppInit_DLLs
数据:C:\\WINDOWS\\winsys.tmp
病毒连接网络:
http://www.h***.com/xifan/flash.asp
http://www.h***.com/xifan/mibao.asp
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|