木馬種植者
Trojan-Dropper.Win32.Vedio.qa
捕獲時間
2011-01-29
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的盜號木馬，用UPX加殼。由微點主動防御軟件自動捕獲，長度為“28,160 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為盜取網絡游戲“夢幻西游”的“用戶名”、“密碼”等相關信息。
用戶中毒后，會出現“大唐無雙” 游戲無故關閉、輸入用戶名、密碼、密保時游戲運行緩慢的現象，最終將導致虛擬財產被黑客盜取。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知間諜”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-Dropper.Win32.Vedio.qa”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
X\mfc42.sve
%ProgramFiles%\Common Files\System\kb906234.bwb
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.FTZX
%SystemRoot%\system32\dllcache\dsound.dll.FTZX
2、手動替換以下文件：
將%SystemRoot%\system32\dsound.dll.FTZX改名為%SystemRoot%\system32\dsound.dll
將%SystemRoot%\system32\dllcache\dsound.dll.FTZX改名為%SystemRoot%\system32\dllcache\dsound.dll
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒提升自身權限，獲取進程快照，查找是否存在夢幻西游主進程“my.exe”，若存在則結束my.exe進程；
2、獲取臨時文件夾路徑，讀取自身資源，創建文件%Temp%\kb906234.sve(隨機名)；
3、讀取注冊表，查找夢幻西游安裝路徑。對應注冊表項為：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\夢幻西游_is1
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache；
4、如果找到游戲安裝目錄，則將%Temp%\kb906234.sve復制為X\mfc42.sve（X為游戲安裝目錄），并設置文件屬性為隱藏；
5、如果沒有找到游戲安裝目錄，則將%Temp%\kb906234.sve復制為%ProgramFiles%\Common Files\System\kb906234.bwb；
6、獲取系統路徑%SystemRoot%\system32，查找動態庫文件dsound.dll，將其復制為dsound.dll.dat。完成后讀取%Temp%\kb906234.sve資源，以添加區段改變入口點的方法感染dsound.dll.dat；
7、調用sfc_os.dll的#5函數關閉Windows文件系統的保護；
8、把正常系統文件%SystemRoot%\system32\dsound.dll改名為%SystemRoot%\system32\dsound.dll.FTZX（隨機名）；%SystemRoot%\system32\dllcache\dsound.dll改名為%SystemRoot%\system32\dllcache\dsound.dll.FTZX；
9、將已被感染的%SystemRoot%\system32\dsound.dll.dat復制為%SystemRoot%\system32\dllcache\dsound.dll,完成后再將其改名為%SystemRoot%\system32\dsound.dll,完成后刪除%Temp%\kb906234.sve；
10、創建批處理文件%Temp%\tempVidio.bat，刪除病毒原文件和批處理自身；
12、游戲運行后會加載被感染的動態庫文件%SystemRoot%\system32\dsound.dll；被感染的動態鏈接庫加載后，運行被病毒加入的區段代碼，盜取用戶網絡游戲信息，并傳送至黑客指定網址。
病毒創建文件：
%Temp%\kb906234.sve
X\mfc42.sve
%ProgramFiles%\Common Files\System\kb906234.bwb
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.FTZX
%SystemRoot%\system32\dllcache\dsound.dll.FTZX
%Temp%\tempVidio.bat
病毒感染文件：
%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll
