pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析:
(1),创建进程快照,遍历查找问道进程asktao.mod,如果有则结束该进程。
(2),释放病毒代码到%Temp%\1307587423.dat(随机名),创建该文件内核对象并映射到当前应用程序的地址空间,把写入文件映射缓冲区的所有数据刷新到磁盘。
(3),查找注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache中是否存在问道的注册表信息"asktao",如果存在则通过此注册表获得问道游戏的安装目录。
(4),查找问道游戏安装目录下是否存在asktao.mod、ksuser.dll和midimap.dll文件,再次创建进程快照,遍历查找asktao.mod进程,有则结束该进程,删除问道正常dll文件ksuser.dll和midimap.dll,拷贝之前创建的%Temp%\1307587423.dat(随机名)为ksuser.dll、midimap.dll,,创建%systemroot%\system32\tem93c.tmp(随机名)。
(5),创建进程快照,查找360tray.exe等安全软件进程,如果有尝试结束其进程,执行winexec执行net stop CryptSvc停止微软数字签名服务,并删除此服务突破系统的保护机制。
(6),备份系统目录下的ksuser.dll、midimap.dll分别为YUksuser.dll、YUmidimap.dll,并删除ksuser.dll和midimap.dll,拷贝之前创建的%Temp%\1307587423.dat(随机名)到系统目录的ksuser.dll、midimap.dll和sysapp17.dll,并拷贝ksuser.dll和midimap.dll这两个文件到%SystemRoot%\system32\ksuser.dll到%SystemRoot%\system32\dllcache\目录。删除%systemroot%\system32\tem93c.tmp,创建进程删除自身。
(7),当问道游戏启动时将自动加载被木马伪造的ksuser.dll和midimap.dll动态链接库文件,创建鼠标键盘消息钩子盗取问道玩家游戏账号。
病毒创建文件:
%Temp%\1307587423.dat
问道游戏安装目录\ksuser.dll
问道游戏安装目录\midimap.dll
%SystemRoot%\system32\dllcache\ksuser.dll
%SystemRoot%\system32\dllcache\midimap.dll
病毒删除文件:
%systemroot%\system32\tem93c.tmp
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|