主题 : 7月10日病毒预报--梦幻盗号木马Trojan-PSW.Win32.OL-Game.cyt
喝水都长膘
级别: 正式版主

显示用户信息
0  发表于: 2008-07-09 22:43

7月10日病毒预报--梦幻盗号木马Trojan-PSW.Win32.OL-Game.cyt

Trojan-PSW.Win32.OL-Game.cyt
捕获时间
2008-07-09
病毒摘要
该样本是使用VC编写的盗号程序,由微点主动防御软件自动捕获,采用FSG加壳方式试图躲避特征码扫描,加壳后长度为26,605字节,图标为

,病毒扩展名为exe,主要通过网页木马、文件捆绑的方式传播,病毒主要盗取网络游戏“梦幻”的帐号、密码以及其他私人信息。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑
安全提示
  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”,请直接选择删除处理(如图1);

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"Trojan-PSW.Win32.OL-Game.cyt”,请直接选择删除(如图2)。

    对于未使用微点主动防御软件的用户,微点反病毒专家建议:
1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新,及时打好漏洞补丁。

病毒分析
该样本程序被执行后,在%SystemRoot%\system32目录下释放病毒文件1.pif;使用API函数WinExec运行该程序;将%SystemRoot%\system32\urlmon.dll拷贝到同一目录下,重命名为ddurl.dll;加载运行动态库ddurl.dll动态获取API函数URLDownloadToFileA地址,使用该函数访问恶意网站http://sdyt888.cn/log1.gif将其他病毒程序下载到本地C:\1.pif并运行;
1.pif运行后,遍历进程查找my.exe将其关闭;在%SystemRoot%\system32目录下释放动态库bjrvm.dll,修改文件属性为隐藏、系统;使用API函数LoadLibraryA加载该动态库;以命令行的方式将1.pif删除;
bjrvm.dll加载运行后,创建名为“__B_MH”的互斥体对象,防止进程中有多个该动态库在运行;在%SystemRoot%\system32目录下释放驱动文件mseion.sys和动态库msepbe.dll,修改文件属性为隐藏、系统;使用API函数LoadLibraryA加载动态库msepbe.dll;遍历进程查找360Tray.exe、360Safe.exe、AntiArp.exe、QQDoctor.exe、QQDoctorMain.exe、killer_Gdwli32.exe将其关闭;调用SCM写注册表,将驱动程序mseion.sys注册成服务,使用相关API函数启动被注册的服务以加载驱动,驱动加载成功后删除驱动文件mseion.sys;驱动的作用是:作为键盘驱动程序的上层过滤驱动;遍历进程查找explorer.exe,申请内存空间将动态库bjrvm.dll写入,通过远程线程激活病毒代码实现代码注入逃避常规杀毒软件的查杀;枚举窗口查找梦幻的登录窗口,通过驱动程序记录键盘操作以此来获取该网络游戏的帐号、密码以及其他私人信息,通过HTTP协议将木马所截获信息发送到盗号者收信空间中;
msepbe.dll运行后,通过全局钩子试图将自身注入到所有进程中;并修改如下注册表健值使进程启动时自动加载如下病毒动态库;
  Quote:
项:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\
健值:AppInit_DLLs
指向数据:wfhyt.dll,kghk.dll,ethsh.dll,stehs.dll,sthth.dll,frntrn.dll,qrhhb.dll,drghszd.dll,fngn.dll,gjjte.dll,xgnfn.dll,xfgnhcgfm.dll,serger.dll,bnxnb.dll,fxgnfx.dll,jzijj.dll,xfgnfx.dll,serghjm.dll,thsddh.dll,xbcvxb.dll,zfdzb.dll,xdndn.dll,xdfntt.dll,hgfhk.dll,dnteh.dll,xfng.dll,njritc.dll,chmfcmh.dll,jwlah.dll,gmnait.dll,hfjg.dll,thurh.dll,mgmgmm.dll,oqrthc.dll,fehom.dll,jyjlt.dll,ijatnaw.dll,sehhter.dll,fhjfg.dll,zdbdb.dll,ydgn.dll,dbfb.dll,fjnbv.dll,wmsat.dll,setrhes.dll,cdxbfxdb.dll,xfgnxfn.dll,gjkhj.dll,xdhdg.dll,rhs.dll,mrjhtjd.dll,zdbfbd.dll,fjyjy.dll,fxnfnh.dll,bjrvm.dll,ektvm.dll,rdthr.dll,rgfjj.dll,dscef.dll,crugd.dll,lariytrz.dll,hjaiq.dll,kduy.dll,hkfgh.dll,awef.dll,dfhsh.dll,msepbe.dll,











家里补差的
级别: 管理员

显示用户信息
1  发表于: 2008-11-14 20:04

谢谢楼主整理采集