主题 : 5月15日病毒预报--大话西游盗号Trojan-PSW.Win32.OL-Game.rpg
喝水都长膘
级别: 正式版主

显示用户信息
0  发表于: 2008-05-14 19:23

5月15日病毒预报--大话西游盗号Trojan-PSW.Win32.OL-Game.rpg

病毒名称
Trojan-PSW.Win32.OL-Game.rpg
捕获时间
2008-05-13
病毒摘要
  该样本是使用VC编写的盗号程序,由微点主动防御软件自动捕获,采用FSG加壳方式试图躲避特征码扫描,加壳后长度为19,701字节,图标为

,病毒扩展名为exe,主要通过网页木马、文件捆绑的方式传播,病毒主要获取网络游戏《大话西游2》的账号和密码以及其它私人信息。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑
安全提示
  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”,请直接选择删除处理(如图1);

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"Trojan-PSW.Win32.OL-Game.rpg”,请直接选择删除(如图2)。

  对于未使用微点主动防御软件的用户,微点反病毒专家建议
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新,及时打好漏洞补丁。

病毒分析
  该样本程序被激活后,检测系统中是否有“avp.exe”进程存在,如果有则通过相关API函数将%systemroot%\system32\drivers\beep.sys替换,修改文件属性为隐藏、系统,通过相关函数启动“Beep”服务加载驱动,加载成功后使用API函数DeleteFileA将驱动文件“beep.sys”删除,再将%systemroot%\system32\dllcache\beep.sys拷贝到%systemroot%\system32\drivers目录下;否则在%temp%目录下释放驱动“tmp*.tmp”,修改文件的属性为隐藏、系统;调用SCM写注册表项将“tmp*.tmp”注册成名为“mhfp”的服务,通过相关函数启动被注册的服务加载驱动,加载成功后使用API函数DeleteFileA将驱动文件“tmp*.tmp”删除,使用相关API函数将服务项“dohs”删除;
  Quote:
项:HKLM\SYSTEM\CurrentControlSet\Services\dohs\
键值:DisplayName
指向数据:dohs
键值:ImagePath
指向文件:\??\%temp%\tmp*.tmp
键值:Start
指向数据:02
  在目录%temp%下释放动态库“tmp*.tmp”,修改文件属性为隐藏、系统;通过API函数LoadLibraryA将“tmp*.tmp”加载运行;动态库运行后拷贝自身到%systemroot%\system32目录下,重命名为“msosdohs**.dll”;修改如下注册表键值使进程都自动加载动态库“msosdohs**.dll”;通过相关API函数获取动态库所在模块名称,与“xy2.exe”进行比较,如果是则通过读取其内存获取网络游戏账号和密码以及其它私人信息,通过HTTP协议将木马所截获信息发送到黑客的收信空间中;
  Quote:
项:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
键值:AppInit_Dlls
指向数据:%systemroot%\system32\msosdohs**.dll
  在目录%systemroot%\system32\drivers目录下释放驱动“msosmsfpfis64.sys”,修改文件属性为隐藏、系统;调用SCM写注册表项将“msosmsfpfis64.sys”注册成名为“msfpfis64”的服务,通过相关函数启动被注册的服务加载驱动;以命令行的方式将病毒原程序删除。
  Quote:
项:HKLM\SYSTEM\CurrentControlSet\Services\msfpfis64\
键值:DisplayName
指向数据:msfpfis64
键值:ImagePath
指向文件:\??\%systemroot%\system32\drivers\msosmsfpfis64.sys
键值:Start
指向数据:02
  驱动beep.sys、tmp*.tmp、msosmsfpfis64.sys的作用是:钩取系统服务MDL,当由内存描述符表分配进程空间时,将msosdohs**.dll写入到每个新创建的进程空间中。











家里补差的
级别: 管理员

显示用户信息
1  发表于: 2008-11-21 19:54

感谢你的分享,aq支持一下。
级别: 新人出动
显示用户信息
2  发表于: 2011-05-19 06:57

文笔流畅,修辞得体

文笔流畅,修辞得体,措词精辟!

博学多才,见多识广,才高八斗!

有医生看到的问问产后妊娠纹怎么消除