qq幻想盜號程序
Trojan-PSW.Win32.OnLineGames.emvu
捕獲時間
2010-12-14
危害等級
中
病毒癥狀
該樣本是使用“C/C ”編寫的木馬程序，由微點主動防御軟件自動捕獲，采用"upx"加殼躲避殺軟查殺，長度為“24,464”字節(jié)，圖標(biāo)為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網(wǎng)頁掛馬”等方式傳播，病毒主要目的是盜取用戶qq幻想世界網(wǎng)游的"賬號"、"密碼"。
用戶中毒后，會出現(xiàn)系統(tǒng)運行緩慢、qq幻想世界網(wǎng)游"賬號""密碼"被盜等現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設(shè)置，微點主動防御將自動保護您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點主動防御軟件升級到最新版本，微點將報警提示您發(fā)現(xiàn)木馬"Trojan-PSW.Win32.OnLineGames.emvu”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
運行系統(tǒng)到安全模式下，刪除以下文件：
%Temp%\22046609n18.dll（隨機命名）
游戲安裝目錄\TCLS\LPK.dll
游戲安裝目錄\TCLS\qqsginit.dll
游戲安裝目錄\TCLS\syswim.dll
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
（1）創(chuàng)建系統(tǒng)快照枚舉進程，查找當(dāng)前系統(tǒng)是否運行qqhxsj.exe、Client.exe進程，以及枚舉以下注冊表項所指向數(shù)據(jù)，來判斷用戶系統(tǒng)是否運行過"qq幻想世界"游戲，若有運行過則獲取游戲的安裝目錄.
（2）若未從注冊表獲取游戲目錄，則枚舉進程查找avp.exe、RvMonD.exe、360rp.exe、360safe.exe、360tray.exe等殺軟進程，若發(fā)現(xiàn)以上進程的運行，則搜索磁盤查找qqhxsj.exe文件來找到"qq幻想世界"游戲的安裝目錄。
（3）若通過以上手段獲取游戲安裝目錄之后，則復(fù)制%SystemRoot%\system32\LPK.DLL到游戲安裝目錄下的TCLS文件夾下并更名為syswim.dll，從自身資源釋放動態(tài)鏈接庫qqsginit.dll、LPK.dll相同目錄下，設(shè)置動態(tài)鏈接庫文件屬性為系統(tǒng)隱藏，實現(xiàn)對系統(tǒng)動態(tài)鏈接庫LPK.dll的劫持，達到游戲進程被動加載qqsginit.dll的目的。
（4）若在未獲得游戲安裝目錄，且未發(fā)現(xiàn)用戶系統(tǒng)有殺軟進程運行時，則釋放動態(tài)鏈接庫22046609n18.dll(隨機命名)到%Temp%目錄下,并設(shè)置文件屬性為系統(tǒng)隱藏，創(chuàng)建全局鉤子將動態(tài)鏈接庫注入到用戶系統(tǒng)的所有進程。
（5）完成以上行為之后，木馬程序通過命令行的方式，刪除自己。
（6）qqsginit.dll、22046609n18.dll被加載后，根據(jù)自身注入的進程的名稱，做出相應(yīng)的動作，發(fā)現(xiàn)注入進程為liveupdate.exe(游戲更新進程)時，則獲取游戲安裝目錄實施(3)步驟；發(fā)現(xiàn)注入進程為qqhxsj.exe時，則通過讀取內(nèi)存等手段獲取游戲的"賬號""密碼"，利用"收信空間的方式"將所盜取信息發(fā)送到黑客指定的網(wǎng)址。
病毒創(chuàng)建文件：
%Temp%\22046609n18.dll（隨機命名）
游戲安裝目錄\TCLS\LPK.dll
游戲安裝目錄\TCLS\qqsginit.dll
游戲安裝目錄\TCLS\syswim.dll
