注册
登录
| 关键词： nbsp 病毒 exe Microsoft Files SOFTWARE 安天 MACHINE Windows LOCAL |
游戏大盗(Trojan-PSW.Win32.OnLineGames.dxf)毒运行后，衍生病毒副本到程序目录下，添加注册表hook项以引导病毒体，设置HOOK劫获相关进程消息…… 病毒标签： 病毒名称： Trojan-PSW.Win32.OnLineGames.dxf 中文名称： 游戏大盗 病毒类型： 木马类 文件MD5： 53524DF08966CB17A07A4226F2624E7C 公开范围： 完全公开 危害等级： 4 文件长度： 脱壳前45,666 字节，脱壳后147,456 字节 感染系统： Windows9x以上版本 开发工具： Borland Delphi 6.0 - 7.0 加壳类型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay] 病毒描述： 该病毒运行后，衍生病毒副本到程序目录下，添加注册表hook项以引导病毒体。设置钩子函数劫获相关进程消息，发送到病毒作者指定页面，以盗取用户游戏账号信息。由于病毒只是简单的套用一个模式获取游戏信息，所以并不是对每一款游戏都有效。 行为分析： 本地行为： 1、文件运行后会衍生副本： %Program Files%\Common Files\Microsoft Shared\MSINFO\SysInfo1.dll 2、新增注册表： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID \{7F4D1081-25FD-44F5-99C6-FF271CFB7EC2}\InProcServer32\@ Value: String: "C:\Program Files\Common Files \Microsoft Shared\MSINFO\SysInfo1.dll" HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID \{7F4D1081-25FD-44F5-99C6-FF271CFB7EC2} \InProcServer32\ThreadingModel Value: String: "Apartment" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Explorer\ShellExecuteHooks \{7F4D1081-25FD-44F5-99C6-FF271CFB7EC2} Value: String: """ 3、主要hook下列进程，劫获敏感信息发送到指定页面： elementclient.exe 《完美世界》 asktao.mod 《问道》 bo.exe 《刀剑OL》 woool.dat 《传奇世界》 main.exe 《奇迹》 kartrider.exe 《跑跑卡丁车》 audition.exe 《劲舞团》 _autopatch.exe 《魔域》 ca.exe 《泡泡堂》 soul.exe 《魔域》 freestyle.exe 《街头篮球》 mir3.exe 《传奇3》 cq.exe 《春秋Q传》 tianji.dat 《天机OL》 game.exe 《水浒Q传》 ogremain.dll 《天下图霸2》 zeroonline.exe 《机战ZeroOnline》 gameclient.exe 《浩方对战平台》 cabalmain.exe 《惊天动地》 qqgame.exe 《QQ游戏平台》 igame.exe 《中国游戏中心》 lobbyshell.exe 《新浪游戏大厅》 注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。 %Windir% WINDODWS所在目录 %DriveLetter% 逻辑驱动器根目录 %ProgramFiles% 系统程序默认安装目录 %HomeDrive% 当前启动的系统的所在分区 %Documents and Settings% 当前用户文档根目录 %Temp% \Documents and Settings\当前用户\Local Settings\Temp %System32% 系统的 System32文件夹 Windows2000/NT中默认的安装路径是C:\Winnt\System32 windows95/98/me中默认的安装路径是C:\Windows\System windowsXP中默认的安装路径是C:\Windows\System32 清除方案： 1 、使用安天木马防线可彻底清除此病毒 ( 推荐 ) 2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。 (1)使用安天免费安全工具ATool多选下列进程，结束： SysInfo1.dll (2)打开注册表编辑器，修改下列册表键值为旧值： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID \{7F4D1081-25FD-44F5-99C6-FF271CFB7EC2} \InProcServer32\@ Value: String: "C:\Program Files \Common Files\Microsoft Shared \MSINFO\SysInfo1.dll" HKEY_LOCAL_MACHINE\SOFTWARE\Classes \CLSID\{7F4D1081-25FD-44F5-99C6-FF271CFB7EC2} \InProcServer32\ThreadingModel Value: String: "Apartment" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \CurrentVersion\Explorer \ShellExecuteHooks \{7F4D1081-25FD-44F5-99C6-FF271CFB7EC2} Value: String: "" (3)删除病毒文件： %Program Files%\Common Files\Microsoft Shared\MSINFO\SysInfo1.dll 作者: 安天实验室 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
