QQ西游盜號木馬
Trojan-PSW.Win32.Magania.ufr
捕獲時間
2012-07-12
危害等級
中
病毒癥狀
該樣本是使用"C/C ”編寫的盜號木馬，由微點主動防御軟件自動捕獲，采用“UPX”加殼方式，企圖躲避特征碼掃描，加殼后長度為“21,611”字節(jié)，圖標(biāo)為“
”，使用“exe”擴(kuò)展名，通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進(jìn)行傳播。
病毒主要目的盜取"QQ西游"游戲賬戶密碼等信息。
當(dāng)用戶計算機(jī)感染此木馬病毒后, 會出現(xiàn)“QQ西游” 游戲無故關(guān)閉、輸入用戶名、密碼、密保時游戲運行緩慢的現(xiàn)象，最終將導(dǎo)致虛擬財產(chǎn)被黑客盜取，并且發(fā)現(xiàn)未知進(jìn)程等現(xiàn)象。
感染對象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設(shè)置，微點主動防御將自動保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“可疑程序”，請直接選擇刪除處理（如圖1）
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經(jīng)將微點主動防御軟件升級到最新版本，微點將報警提示您發(fā)現(xiàn)木馬"Trojan-PSW.Win32.Magania.ufr”，請直接選擇刪除（如圖2）
圖2 微點主動防御軟件升級后截獲已知病毒
未安裝微點主動防御軟件的手動解決辦法：
1.手動替換或刪除文件：
"client.exe所在目錄\syswim.dll"
"client.exe所在目錄\clientTX.dll"
"client.exe所在目錄\LPK.DLL"
"_QYPatch.bin所在目錄\syswim.dll"
"_QYPatch.bin所在目錄\clientTX.dll"
"_QYPatch.bin所在目錄\LPK.DLL"
"QQ西游.exe所在目錄\TCLS\syswim.dll"
"QQ西游.exe所在目錄\TCLS\clientTX.dll"
"QQ西游.exe所在目錄\TCLS\LPK.DLL"
"QY.exe所在目錄\TCLS\syswim.dll"
"QY.exe所在目錄\TCLS\clientTX.dll"
"QY.exe所在目錄\TCLS\LPK.DLL"
"QYPatch.exe所在目錄\TCLS\syswim.dll"
"QYPatch.exe所在目錄\TCLS\clientTX.dll"
"QYPatch.exe所在目錄\TCLS\LPK.DLL"
2.手動刪除文件：
"%Temp%\1n31.dll(文件名隨機(jī))"
"%SystemRoot%\ctfmon.exe"
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析：
1.創(chuàng)建進(jìn)程快照，查找并強制結(jié)束進(jìn)程"QQ西游.exe"、"qy.exe"、"qqlogin.exe"。
2.枚舉注注冊表"HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache"，查找有"\client.exe"、"\_QYPatch.bin"、"QQ西游.exe"、"QY.exe"、"QYPatch.exe"字樣的鍵值項，獲取游戲安裝路徑。
3.獲取系統(tǒng)目錄，將文件"C:\WINDOWS\system32\LPK.DLL"拷貝重命名為"client.exe所在目錄\syswim.dll"。創(chuàng)建文件"client.exe所在目錄\clientTX.dll"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。創(chuàng)建文件"client.exe所在目錄\LPK.DLL"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。
4.將文件"C:\WINDOWS\system32\LPK.DLL"拷貝重命名為"_QYPatch.bin所在目錄\TCLS\syswim.dll"。創(chuàng)建文件"_QYPatch.bin所在目錄\TCLS\clientTX.dll"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。創(chuàng)建文件"_QYPatch.bin所在目錄\TCLS\LPK.DLL"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。
5.將文件"C:\WINDOWS\system32\LPK.DLL"拷貝重命名為"QQ西游.exe所在目錄\TCLS\syswim.dll"。創(chuàng)建文件"QQ西游.exe所在目錄\TCLS\clientTX.dll"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。創(chuàng)建文件"QQ西游.exe所在目錄\TCLS\LPK.DLL"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。
6.將文件"C:\WINDOWS\system32\LPK.DLL"拷貝重命名為"QY.exe所在目錄\TCLS\syswim.dll"。創(chuàng)建文件"QY.exe所在目錄\TCLS\clientTX.dll"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。創(chuàng)建文件"QY.exe所在目錄\TCLS\LPK.DLL"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。
7.將文件"C:\WINDOWS\system32\LPK.DLL"拷貝重命名為"QYPatch.exe所在目錄\TCLS\syswim.dll"。創(chuàng)建文件"QYPatch.exe所在目錄\TCLS\clientTX.dll"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。創(chuàng)建文件"QYPatch.exe所在目錄\TCLS\LPK.DLL"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。
8.遍歷所有磁盤，開辟新線程，枚舉所有文件"QQ西游.exe"，并將文件"C:\WINDOWS\system32\LPK.DLL"拷貝重命名為同目錄下"\TCLS\syswim.dll"。
9.獲取系統(tǒng)緩存目錄，創(chuàng)建文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1n31.dll(文件名隨機(jī))"，寫入病毒數(shù)據(jù)，并設(shè)文件屬性為系統(tǒng)和隱藏。
10.創(chuàng)建進(jìn)程快照，查找進(jìn)程"RavMonD.exe"、"avp.exe"、"360rp.exe"、"360sd.exe"、"360tray.exe"、"360safe.exe"，如果未找到則將文件"C:\WINDOWS\notepad.exe"拷貝重命名為"C:\WINDOWS\ctfmon.exe"，并以隱藏的方式執(zhí)行。否則執(zhí)行步驟之后刪除自身并退出。
11.加載"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1n31.dll(文件名隨機(jī))"并執(zhí)行導(dǎo)出函數(shù)"wdof"、"wdon"，設(shè)置消息鉤子。
12.執(zhí)行"cmd /c C:\WINDOWS\system32\rundll32.exe C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1n31.dll,DeleteSelf 病毒文件路徑"將病毒自身刪除。
13.病毒dll文件"LPK.dll"運行之后，加載病毒dll文件"clientTX.dll"，該文件加載到游戲進(jìn)程中，截取游戲屏幕，修改游戲配置文件，獲取游戲賬號密碼信息發(fā)送到指定的地址。
病毒創(chuàng)建文件：
"%Temp%\1n31.dll(文件名隨機(jī))"
"%SystemRoot%\ctfmon.exe"
游戲目錄中：
"client.exe所在目錄\syswim.dll"
"client.exe所在目錄\clientTX.dll"
"client.exe所在目錄\LPK.DLL"
"_QYPatch.bin所在目錄\syswim.dll"
"_QYPatch.bin所在目錄\clientTX.dll"
"_QYPatch.bin所在目錄\LPK.DLL"
"QQ西游.exe所在目錄\TCLS\syswim.dll"
"QQ西游.exe所在目錄\TCLS\clientTX.dll"
"QQ西游.exe所在目錄\TCLS\LPK.DLL"
"QY.exe所在目錄\TCLS\syswim.dll"
"QY.exe所在目錄\TCLS\clientTX.dll"
"QY.exe所在目錄\TCLS\LPK.DLL"
"QYPatch.exe所在目錄\TCLS\syswim.dll"
"QYPatch.exe所在目錄\TCLS\clientTX.dll"
"QYPatch.exe所在目錄\TCLS\LPK.DLL"
病毒刪除文件：
樣本文件自身
