微点交流论坛
» 游客:  注册 | 登录 | 帮助

 

作者:
标题: 传奇游戏盗号木马Trojan-PSW.Win32.OnLineGames.eqac
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#1  传奇游戏盗号木马Trojan-PSW.Win32.OnLineGames.eqac

传奇游戏盗号木马

Trojan-PSW.Win32.OnLineGames.eqac

捕获时间

2012-03-11

危害等级



病毒症状

  该样本是使用“VC++”编写的“盗号木马”,由微点主动防御软件自动捕获, 采用“UPX”加壳方式,企图躲避特征码扫描,加壳后长度为“33,336”字节,图标为“”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是盗取用户的密码和帐号。
  当用户计算机感染此木马病毒后, 会出现“传奇” 游戏无故关闭、输入用户名、密码、密保时游戏运行缓慢的现象,最终将导致虚拟财产被黑客盗取,并且发现未知进程等现象.

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍”,请直接选择删除处理(如图1)


图1 微点主动防御软件自动捕获未知病毒(未升级)



如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-PSW.Win32.OnLineGames.eqac ”,请直接选择删除(如图2)。


图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:

手动删除以下文件
%SystemRoot%\system32\dbr08011.ocx
%SystemRoot%\system32\msctfime.iem"
%SystemRoot%\system32\gbvgbv08.exe
%SystemRoot%\system32\comres.dll.ocx
%SystemRoot%\system32\DllCache\comres.dll
%SystemRoot%\system32\comres.dll
%SystemRoot%\system32\dsound.dll.ocx
%SystemRoot%\system32\dsound.dll


%SystemRoot%\system32\DllCache\comres.dll.bak、
%SystemRoot%\system32\comres.dll.bak、
%SystemRoot%\system32\comres.dll.bak、
%SystemRoot%\system32\dsound.dll.bak
分别重命名为
%SystemRoot%\system32\DllCache\comres.dll、
%SystemRoot%\system32\comres.dll、
%SystemRoot%\system32\comres.dll、
%SystemRoot%\system32\dsound.dll

修改注册表

将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCDisable修改为0

变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2012-3-11 16:54
查看资料  发短消息   编辑帖子
pioneer
超级版主




积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
#2  

病毒分析:

1、在系统临时目录下创建"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\0071EA5Amdd.temp"(文件名随机)文件,将"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\0071EA5Amdd.temp"移动到系统目录下命名为"C:\WINDOWS\system32\dbr08011.ocx"。
2、在系统临时目录下创建"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\007A8357ime.temp"(文件名随机)文件,将"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\007A8357ime.temp"文件移动到系统目录下命名为"C:\WINDOWS\system32\msctfime.iem"。
3、创建进程快照,遍历进程查找"explorer.exe",打开该进程,将"C:\WINDOWS\system32\msctfime.iem"写入该进程的内存区域。通过创建远程线程的方式注入"explorer.exe",监控用户的按键信息。
4、将"C:\WINDOWS\system32\rundll32.exe"复制为"C:\WINDOWS\system32\gbvgbv08.exe"。
5、创建一个线程,以“C:\WINDOWS\system32\dbr08011.ocx pfjaoidjglkajd C:\Documents and Settings\Administrator\桌面\sample.exe”为参数运行“C:\WINDOWS\system32\gbvgbv08.exe”。
6、打开注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon,设置SFCDisable的键值为ffffff9d,取消windows系统文件保护。
7、将"C:\WINDOWS\system32\DllCache\comres.dll"重命名为"C:\WINDOWS\system32\DllCache\comres.dll.bak",将"C:\WINDOWS\system32\comres.dll"复制为"C:\WINDOWS\system32\comres.dll.ocx",向"C:\WINDOWS\system32\comres.dll.ocx"写入恶意代码。
8、将"C:\WINDOWS\system32\comres.dll"重命名为"C:\WINDOWS\system32\comres.dll.bak",将"C:\WINDOWS\system32\comres.dll.ocx"重命名为"C:\WINDOWS\system32\comres.dll"。
9、将"C:\WINDOWS\system32\DllCache\dsound.dll"重命名为"C:\WINDOWS\system32\DllCache\dsound.dll.bak"。
10、将"C:\WINDOWS\system32\dsound.dll"复制为"C:\WINDOWS\system32\dsound.dll.ocx",向"C:\WINDOWS\system32\dsound.dll.ocx"写入恶意代码。将"C:\WINDOWS\system32\dsound.dll"重命名为"C:\WINDOWS\system32\dsound.dll.bak",将"C:\WINDOWS\system32\dsound.dll.ocx"重命名为"C:\WINDOWS\system32\dsound.dll"。
11、创建系统进程快照,遍历进程查找并结束“mir.exe”(传奇)、“mir1.dat”、“mir2.dat”、“mir4.dat”。删除样本文件。
12、当用户打开游戏时,系统会自动加载被写入恶意代码的动态链接库文件,通过挂钩关键函数、记录用户的按键信息等手段盗取账户名和密码等信息,发送到指定的网址。

病毒创建文件:

%Temp%\0071EA5Amdd.temp(文件名随机)
%SystemRoot%\system32\dbr08011.ocx
%Temp%\007A8357ime.temp(文件名随机)
%SystemRoot%\system32\msctfime.iem"
%SystemRoot%\system32\gbvgbv08.exe
%SystemRoot%\system32\DllCache\comres.dll.bak
%SystemRoot%\system32\comres.dll.ocx
%SystemRoot%\system32\comres.dll.bak
%SystemRoot%\system32\DllCache\comres.dll
%SystemRoot%\system32\comres.dll
%SystemRoot%\system32\DllCache\dsound.dll.bak
%SystemRoot%\system32\dsound.dll.ocx
%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dsound.dll.bak

病毒删除文件:

样本文件

病毒修改注册表:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCDisable

※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
2012-3-11 16:55
查看资料  发短消息   编辑帖子



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]


北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号