龍之谷盜號木馬
Trojan-PSW.Win32.OnLineGames.enax
捕獲時間
2011-01-10
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的盜號木馬。由微點主動防御軟件自動捕獲，長度為“22,516 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的為盜取網絡游戲“龍之谷”的“用戶名”、“密碼”等相關信息。
用戶中毒后，會出現“龍之谷” 游戲無故關閉、輸入用戶名、密碼、密保時游戲運行緩慢的現象，最終將導致虛擬財產被黑客盜取。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-PSW.Win32.OnLineGames.enax”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
%SystemRoot%\winsys.tmp
%SystemRoot%\~324.tmp
%Temp%\a.reg
%SystemRoot%\System32\dxe.dat
龍之谷游戲安裝目錄\bal32_.dll
龍之谷游戲安裝目錄\~a.tmp
龍之谷游戲安裝目錄\bal32.dll
2、手動更改以下文件:
龍之谷游戲安裝目錄\bal32_.dll改為bal32.dll
3、手動刪除以下注冊表項:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
名稱：AppInit_DLLs
數據：C:\\WINDOWS\\winsys.tmp
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒運行后，會在系統目錄C:\windows目錄下創建文件winsys.tmp和~324.tmp；
2、獲取系統文件夾%SystemRoot%\system32,在該目錄下創建DAT文件dxe.dat,用里面的加密字符來病毒連接解密網址；
3、調用系統文件rundll32.exe以參數“Run”加載~324.tmp；
4、~324.tmp加載后，首先刪除病毒原文件自身；
5、創建進程快照，查找是否有360安全軟件進程360tray.exe；如果沒有，~324.tmp會在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows創建注冊表項，實現C:\\WINDOWS\\winsys.tmp文件的自啟動，在臨時文件夾目錄%Temp%下創建注冊表文件a.reg,保存注冊表的鍵值和路徑；然后查找是否有"龍之谷"字符的窗口，然后發送消息到指定窗口；
6、如果找到360.tray進程，首先也會查找是否有"龍之谷"字符的窗口，發送消息到指定窗口；然后通過遍歷注冊表中HK_C_U\Software\Microsoft\Windows\ShellNoRoam\MUICache查找“Dragonhead Launcher”，找到龍之谷游戲的安裝路徑；
7、改寫Dragonnest.exe,在游戲安裝目錄下找到動態庫文件bvl32.dll,復制自身為bal32_.dll，并且將自身移動為~a.tmp，然后將病毒生成的winsys.tmp復制到游戲安裝目錄下并重命名為bvl32.dll，以替換正常的游戲文件；
8、創建線程，創建進程快照遍歷進程查找是否有safeboxtray.exe,有則結束該進程；
9、游戲運行后，會調用被winsys.tmp感染的bvl32.dll，winsys.tmp運行后，會創建全局消息鉤子，獲取游戲的帳號和密碼信息發送到黑客指定網址；
病毒創建文件：
%SystemRoot%\winsys.tmp
%SystemRoot%\~324.tmp
%Temp%\a.reg
%SystemRoot%\System32\dxe.dat
龍之谷游戲安裝目錄\bal32_.dll
龍之谷游戲安裝目錄\~a.tmp
病毒替換游戲文件：
將龍之谷游戲安裝目錄\bal32.dll替換為winsys.tmp
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
名稱：AppInit_DLLs
數據：C:\\WINDOWS\\winsys.tmp
病毒連接網絡：
http://www.h***.com/xifan/flash.asp
http://www.h***.com/xifan/mibao.asp
