pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、创建进程快照遍历进程查找mir1.dat进程,如果找到,试图打开并结束该进程;然后再次遍历进程查找是否仍有mir1.dat进程,如果没有,执行下一步,否则继续查找并结束该进程;
2、查找窗口是否有“legend of mir2”窗口,如果有,试图以"EndTask"结束该窗口;
3、创建进程快照遍历进程继续查找mir4.dat、mir.exe进程,如果找到,也试图打开并结束进程,然后判断进程是否结束,结束则执行下一步,否则继续查找并结束该进程;
4、遍历注册表HK_C_U\Software\Microsoft\Windows\ShellNoRoam\MUICache查找“mir”,找到热血传奇游戏的安装目录;在该目录下创建动态库文件comres.dll(替换系统正常comres.dll),并设置文件属性为系统隐藏;游戏运行后,会优先加载自己目录下的comres.dll,从而达到替换系统正常comres.dll的目的;comres.dll运行后,会创建全局消息钩子,盗取用户游戏用户名和密码,发送到黑客指定网址;
5、如果没有找到游戏安装目录,获取临时文件夹目录%Temp%,在该目录下创建动态库文件13172265n15.dll(文件名随机),设置文件属性为系统隐藏;
6、找开互斥体“crexcqasdfgh”,如果已有一个实例运行,则跳过以下安全软件查找过程,执行下一步;
7、创建进程快照查找进程“avp.exe”、“RavMonD.exe”、“360rp.exe”、“360sd.exe”、“360tray.exe”、“360safe.exe”,如果没有找到以上安全进程,病毒会将C:\WINDOWS\notepad.exe复制为C:\WINDOWS\ctfmon.exe;遍历进程查找进程中是否有ctfmon.exe,如果没有,则打开C:\WINDOWS\ctfmon.exe;以参数“wwhko”加载动态库13172265n15.dll,设置全局消息钩子,当用户游戏运行,会加载被病毒感染的ctfmon.exe,获取消息,用以保存用户名和密码信息,然后连接网络发送到黑客指定网址,结束后,以参数“wwhkf”加载动态库13172265n15.dll,摘除消息钩子;
8、如果找到上述安全软件进程中的任何一个,病毒会创建线程,遍历所有磁盘查找是否有“mir.exe”游戏文件,然后找到游戏安装目录,创建文件comres.dll,游戏运行过程中会加载该动态库;
9、最后调用系统rundll32.exe以参数“DeleteSelf”加载动态库13172265n15.dll,删除病毒原文件;
病毒创建文件:
热血传奇安装目录\comres.dll
%Temp%\13172265n15.dll
%SystemRoot% \ctfmon.exe
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|