木馬程序
Trojan.Win32.Genetik.pqm
捕獲時間
2011-01-12
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的木馬tkyc。由微點主動防御軟件自動捕獲，長度為“21,904 字節(jié)”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網(wǎng)頁掛馬”等方式傳播，病毒主要目的為盜取網(wǎng)絡游戲“熱血傳奇”的“用戶名”、“密碼”等相關信息。
用戶中毒后，會出現(xiàn)“熱血傳奇” 游戲無故關閉、輸入用戶名、密碼、密保時游戲運行緩慢的現(xiàn)象，最終將導致虛擬財產(chǎn)被黑客盜取。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點主動防御軟件升級到最新版本，微點將報警提示您發(fā)現(xiàn)木馬"Trojan.Win32.Genetik.pqm”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1、手動刪除以下文件：
熱血傳奇安裝目錄\comres.dll
%Temp%\13172265n15.dll
%SystemRoot%\ctfmon.exe
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、創(chuàng)建進程快照遍歷進程查找mir1.dat進程，如果找到，試圖打開并結束該進程；然后再次遍歷進程查找是否仍有mir1.dat進程，如果沒有，執(zhí)行下一步，否則繼續(xù)查找并結束該進程；
2、查找窗口是否有“legend of mir2”窗口，如果有，試圖以"EndTask"結束該窗口；
3、創(chuàng)建進程快照遍歷進程繼續(xù)查找mir4.dat、mir.exe進程,如果找到，也試圖打開并結束進程，然后判斷進程是否結束，結束則執(zhí)行下一步，否則繼續(xù)查找并結束該進程；
4、遍歷注冊表HK_C_U\Software\Microsoft\Windows\ShellNoRoam\MUICache查找“mir”，找到熱血傳奇游戲的安裝目錄；在該目錄下創(chuàng)建動態(tài)庫文件comres.dll（替換系統(tǒng)正常comres.dll），并設置文件屬性為系統(tǒng)隱藏；游戲運行后，會優(yōu)先加載自己目錄下的comres.dll，從而達到替換系統(tǒng)正常comres.dll的目的；comres.dll運行后，會創(chuàng)建全局消息鉤子，盜取用戶游戲用戶名和密碼，發(fā)送到黑客指定網(wǎng)址；
5、如果沒有找到游戲安裝目錄，獲取臨時文件夾目錄%Temp%,在該目錄下創(chuàng)建動態(tài)庫文件13172265n15.dll（文件名隨機），設置文件屬性為系統(tǒng)隱藏；
6、找開互斥體“crexcqasdfgh”，如果已有一個實例運行，則跳過以下安全軟件查找過程，執(zhí)行下一步；
7、創(chuàng)建進程快照查找進程“avp.exe”、“RavMonD.exe”、“360rp.exe”、“360sd.exe”、“360tray.exe”、“360safe.exe”，如果沒有找到以上安全進程，病毒會將C:\WINDOWS\notepad.exe復制為C:\WINDOWS\ctfmon.exe;遍歷進程查找進程中是否有ctfmon.exe，如果沒有，則打開C:\WINDOWS\ctfmon.exe；以參數(shù)“wwhko”加載動態(tài)庫13172265n15.dll，設置全局消息鉤子，當用戶游戲運行，會加載被病毒感染的ctfmon.exe，獲取消息，用以保存用戶名和密碼信息，然后連接網(wǎng)絡發(fā)送到黑客指定網(wǎng)址，結束后，以參數(shù)“wwhkf”加載動態(tài)庫13172265n15.dll,摘除消息鉤子；
8、如果找到上述安全軟件進程中的任何一個，病毒會創(chuàng)建線程，遍歷所有磁盤查找是否有“mir.exe”游戲文件，然后找到游戲安裝目錄，創(chuàng)建文件comres.dll，游戲運行過程中會加載該動態(tài)庫；
9、最后調(diào)用系統(tǒng)rundll32.exe以參數(shù)“DeleteSelf”加載動態(tài)庫13172265n15.dll,刪除病毒原文件；
病毒創(chuàng)建文件：
熱血傳奇安裝目錄\comres.dll
%Temp%\13172265n15.dll
%SystemRoot% \ctfmon.exe
