盜號木馬
Trojan-PSW.Win32.Agent.tb
捕獲時間
2011-05-10
危害等級
中
病毒癥狀
該樣本是使用“VC ”編寫的“盜號木馬程序”，由微點主動防御軟件自動捕獲, 采用“ASPack”加殼方式，企圖躲避特征碼掃描，加殼后長度為“44,239”字節，圖標為“
”，使用“exe”擴展名，通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的是盜取用戶游戲帳號，以及游戲金幣。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現木馬"Trojan-PSW.Win32.Agent.tb”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
手動刪除文件:
1．刪除%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll
手動刪除注冊表
刪除 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\ {729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}
刪除 HKEY_CLASSES_ROOT\CLSID\{729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}\InProcServer32
名稱：
數據：C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll
刪除 HKEY_CLASSES_ROOT\CLSID\{729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}\InProcServer32
名稱：ThreadingModel
數據：Apartment
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.該文件通過遍歷窗口查看是否有窗口類名為"____AVP.Root" ，"AVP.Tray"的窗口信息，如果存在，就修改用戶當前系統時間，使用戶安裝的殺軟失效。如果不存在，繼續往下執行。
2.先刪除"C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll"文件，查找"C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll "文件是否存在，如果不存在，就在該目錄下創建"C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll"系統隱藏屬性文件，并加載之。創建窗口名稱為"ZXY_ExeWL",類名為"ListBox"的窗口機制，進行消息窗口通信，然后以參數"JmpHookOn"和"JmpHookOff"形式，建立全局的鍵盤和鼠標鉤子，盜取用戶信息和帳號。
3.加載"SysInfo2.dll"成功后，比較是否是"Explorer.Exe"啟動該文件，如果是，在系統目錄下"C:\WINDOWS\System32\VerCLSID.bak"和"C:\WINDOWS\System32\VerCLSID.exe"存在該文件，將這些文件重新命名為"wininit.ini"文件。如果不是，判斷"ElementClient.exe" ，"asktao.mod","woool.dat","woool88.dat","KartRider.exe"是否這些文件加載"SysInfo2.dll"文件，如果是遍歷窗口查看是否有"ZXY_ExeWL",類名為"ListBox"的窗口信息，如果有，建立線程函數，進行窗口消息機制通信。盜取用戶游戲帳號，以及游戲金幣。
4.創建注冊表信息：目的是便于該文件的下一次運行自啟動。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\ {729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}
5. HKEY_CLASSES_ROOT\CLSID\{729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}\InProcServer32
名稱：
數據：C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll
HKEY_CLASSES_ROOT\CLSID\{729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}\InProcServer32
名稱：ThreadingModel
數據：Apartment
6.建立批處理文件"C:\XR.bat"，并以外部命令ShellExecuteA，執行之。目的是刪除該樣本本身以及批處理自己。
病毒創建文件：
%ProgramFiles%\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll
%SystemDriver%\XR.bat
病毒創建注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\ {729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}
HKEY_CLASSES_ROOT\CLSID\{729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}\InProcServer32
名稱：
數據：C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysInfo2.dll
HKEY_CLASSES_ROOT\CLSID\{729B6C61-BDC5-4C09-A1DE-A296BA0B89EC}\InProcServer32
名稱：ThreadingModel
數據：Apartment
