注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

85167118的博客

西安艺语网络传媒印务有限公司

 
 
 

日志

 
 

倩女幽魂、大唐无双游戏盗号木马Trojan-PSW.Win32.Kykymber.aoh手动解决方法  

2012-05-02 11:39:27|  分类: 手动杀毒 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

捕获时间
2012-04-28
危害等级

病毒症状
   该样本是使用“VC ”编写的“盗号木马”,由微点主动防御软件自动捕获, 采用“UPX”加壳方式,企图躲避特征码扫描,加壳后长度为“24,453”字节,图标为“”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是盗取用户的密码和帐号。当用户计算机感染此木马病毒后, 会出现“倩女幽魂”、“大唐无双”等游戏无故关闭、输入用户名、密码、密保时游戏运行缓慢的现象,最终将导致虚拟财产被黑客盗取,并且发现未知进程等现象.
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
传播途径
文件捆绑、网页挂马、下载器下载

手动删除以下文件
1、        删除游戏安装目录\bin\msvcp80.org
2、        删除%temp%\kb0085e48c.qhy(文件名随机)
3、        删除%ProgramFiles%\Common Files\System\kb0085e48c.qhy
4、        删除%SystemRoot%\system32\rasadhlp.dll
5、        将%SystemRoot%\system32\rasadhlp.dll.CZME(后缀名随机)改名为%SystemRoot%\system32\rasadhlp.dll
6、        将%SystemRoot%\system32\DllCache\rasadhlp.dll.CZME改名为%SystemRoot%\system32\DllCache \rasadhlp.dll


变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”
病毒分析:
1、        获取当前进程的句柄,提升当前进程的权限为"SeDebugPrivilege",创建进程快照,遍历查找并尝试结束进程“GacRunner.exe”。
2、        在临时文件夹下创建"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\kb0085e48c.qhy"(文件名随机),并将其复制为"C:\Program Files\Common Files\System\kb0085e48c.qhy"。
3、        打开注册表项“HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache”,枚举该注册表项下所有键,查找“GacRunner.exe”,以确定游戏的安装路径。
4、        若找到游戏安装路径,则将"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\kb0085e48c.qhy"复制到游戏安装目录\bin\msvcp80.org,设置文件属性为系统隐藏。
5、        将"C:\WINDOWS\system32\rasadhlp.dll"复制为"C:\WINDOWS\system32\rasadhlp.dll.dat",向该文件写入恶意代码,将"C:\WINDOWS\system32\rasadhlp.dll"重命名为"C:\WINDOWS\system32\rasadhlp.dll.CZME"(后缀名随机),将"C:\WINDOWS\system32\DllCache\rasadhlp.dll"重命名为"C:\WINDOWS\system32\DllCache\rasadhlp.dll.CZME"。
6、        复制"C:\WINDOWS\system32\rasadhlp.dll.dat"为"C:\WINDOWS\system32\DllCache\rasadhlp.dll"、"C:\WINDOWS\system32\rasadhlp.dll",然后删除"C:\WINDOWS\system32\rasadhlp.dll.dat"。
7、        创建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tempVidio.bat",内容为:
@echo  off
:try
del  C:\DOCUME~1\ADMINI~1\桌面\sample.exe
if   exist   C:\DOCUME~1\ADMINI~1\桌面\sample.exe  goto  try
del  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tempVidio.bat
运行该批处理文件,删除样本和自身文件。
8、        游戏启动后会优先加载游戏目录下写入恶意代码的动态链接库“msvcp80.org”,该动态库加载后通过挂钩关键函数、键盘鼠标钩子以及截屏等手段盗取游戏"账号""密码"等信息,并发送到黑客指定网址。


病毒创建文件:

游戏安装目录\bin\msvcp80.org
%temp%\kb0085e48c.qhy(文件名随机)
%ProgramFiles%\Common Files\System\kb0085e48c.qhy
%SystemRoot%\system32\rasadhlp.dll
%SystemRoot%\system32\rasadhlp.dll.dat
%SystemRoot%\system32\rasadhlp.dll.CZME(后缀名随机)
%SystemRoot%\system32\DllCache\rasadhlp.dll.CZME
%temp%\tempVidio.bat

病毒删除文件:

样本自身文件
%temp%\tempVidio.bat
%SystemRoot%\system32\rasadhlp.dll.dat

  评论这张
 
阅读(264)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017