木馬種植者
Trojan-Dropper.Win32.Vedio.qa
捕獲時(shí)間
2011-01-29
危害等級(jí)
中
病毒癥狀
該樣本是使用“VC ”編寫的盜號(hào)木馬，用UPX加殼。由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲，長度為“28,160 字節(jié)”，圖標(biāo)為“ ”，病毒擴(kuò)展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網(wǎng)頁掛馬”等方式傳播，病毒主要目的為盜取網(wǎng)絡(luò)游戲“夢(mèng)幻西游”的“用戶名”、“密碼”等相關(guān)信息。
用戶中毒后，會(huì)出現(xiàn)“大唐無雙” 游戲無故關(guān)閉、輸入用戶名、密碼、密保時(shí)游戲運(yùn)行緩慢的現(xiàn)象，最終將導(dǎo)致虛擬財(cái)產(chǎn)被黑客盜取。
感染對(duì)象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級(jí)到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“未知間諜”，請(qǐng)直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲未知病毒（未升級(jí)）
如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Trojan-Dropper.Win32.Vedio.qa”，請(qǐng)直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動(dòng)防御軟件升級(jí)后截獲已知病毒
未安裝微點(diǎn)主動(dòng)防御軟件的手動(dòng)解決辦法：
1、手動(dòng)刪除以下文件：
X\mfc42.sve
%ProgramFiles%\Common Files\System\kb906234.bwb
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.FTZX
%SystemRoot%\system32\dllcache\dsound.dll.FTZX
2、手動(dòng)替換以下文件：
將%SystemRoot%\system32\dsound.dll.FTZX改名為%SystemRoot%\system32\dsound.dll
將%SystemRoot%\system32\dllcache\dsound.dll.FTZX改名為%SystemRoot%\system32\dllcache\dsound.dll
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、病毒提升自身權(quán)限，獲取進(jìn)程快照，查找是否存在夢(mèng)幻西游主進(jìn)程“my.exe”，若存在則結(jié)束my.exe進(jìn)程；
2、獲取臨時(shí)文件夾路徑，讀取自身資源，創(chuàng)建文件%Temp%\kb906234.sve(隨機(jī)名)；
3、讀取注冊(cè)表，查找夢(mèng)幻西游安裝路徑。對(duì)應(yīng)注冊(cè)表項(xiàng)為：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\夢(mèng)幻西游_is1
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache；
4、如果找到游戲安裝目錄，則將%Temp%\kb906234.sve復(fù)制為X\mfc42.sve（X為游戲安裝目錄），并設(shè)置文件屬性為隱藏；
5、如果沒有找到游戲安裝目錄，則將%Temp%\kb906234.sve復(fù)制為%ProgramFiles%\Common Files\System\kb906234.bwb；
6、獲取系統(tǒng)路徑%SystemRoot%\system32，查找動(dòng)態(tài)庫文件dsound.dll，將其復(fù)制為dsound.dll.dat。完成后讀取%Temp%\kb906234.sve資源，以添加區(qū)段改變?nèi)肟邳c(diǎn)的方法感染dsound.dll.dat；
7、調(diào)用sfc_os.dll的#5函數(shù)關(guān)閉Windows文件系統(tǒng)的保護(hù)；
8、把正常系統(tǒng)文件%SystemRoot%\system32\dsound.dll改名為%SystemRoot%\system32\dsound.dll.FTZX（隨機(jī)名）；%SystemRoot%\system32\dllcache\dsound.dll改名為%SystemRoot%\system32\dllcache\dsound.dll.FTZX；
9、將已被感染的%SystemRoot%\system32\dsound.dll.dat復(fù)制為%SystemRoot%\system32\dllcache\dsound.dll,完成后再將其改名為%SystemRoot%\system32\dsound.dll,完成后刪除%Temp%\kb906234.sve；
10、創(chuàng)建批處理文件%Temp%\tempVidio.bat，刪除病毒原文件和批處理自身；
12、游戲運(yùn)行后會(huì)加載被感染的動(dòng)態(tài)庫文件%SystemRoot%\system32\dsound.dll；被感染的動(dòng)態(tài)鏈接庫加載后，運(yùn)行被病毒加入的區(qū)段代碼，盜取用戶網(wǎng)絡(luò)游戲信息，并傳送至黑客指定網(wǎng)址。
病毒創(chuàng)建文件：
%Temp%\kb906234.sve
X\mfc42.sve
%ProgramFiles%\Common Files\System\kb906234.bwb
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.FTZX
%SystemRoot%\system32\dllcache\dsound.dll.FTZX
%Temp%\tempVidio.bat
病毒感染文件：
%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll
|
