木馬程序
Trojan.Win32.Genetik.pqm
捕獲時(shí)間
2011-01-12
危害等級(jí)
中
病毒癥狀
該樣本是使用“VC ”編寫的木馬tkyc。由微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲，長度為“21,904 字節(jié)”，圖標(biāo)為“
”，病毒擴(kuò)展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網(wǎng)頁掛馬”等方式傳播，病毒主要目的為盜取網(wǎng)絡(luò)游戲“熱血傳奇”的“用戶名”、“密碼”等相關(guān)信息。
用戶中毒后，會(huì)出現(xiàn)“熱血傳奇” 游戲無故關(guān)閉、輸入用戶名、密碼、密保時(shí)游戲運(yùn)行緩慢的現(xiàn)象，最終將導(dǎo)致虛擬財(cái)產(chǎn)被黑客盜取。
感染對(duì)象
Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7
傳播途徑
文件捆綁、網(wǎng)頁掛馬、下載器下載
防范措施
已安裝使用微點(diǎn)主動(dòng)防御軟件的用戶，無須任何設(shè)置，微點(diǎn)主動(dòng)防御將自動(dòng)保護(hù)您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級(jí)到最新版本，微點(diǎn)主動(dòng)防御都能夠有效清除該病毒。如果您沒有將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版，微點(diǎn)主動(dòng)防御軟件在發(fā)現(xiàn)該病毒后將報(bào)警提示您發(fā)現(xiàn)“可疑程序”，請(qǐng)直接選擇刪除處理（如圖1）
圖1 微點(diǎn)主動(dòng)防御軟件自動(dòng)捕獲未知病毒（未升級(jí)）
如果您已經(jīng)將微點(diǎn)主動(dòng)防御軟件升級(jí)到最新版本，微點(diǎn)將報(bào)警提示您發(fā)現(xiàn)木馬"Trojan.Win32.Genetik.pqm”，請(qǐng)直接選擇刪除（如圖2）。
圖2 微點(diǎn)主動(dòng)防御軟件升級(jí)后截獲已知病毒
未安裝微點(diǎn)主動(dòng)防御軟件的手動(dòng)解決辦法：
1、手動(dòng)刪除以下文件：
熱血傳奇安裝目錄\comres.dll
%Temp%\13172265n15.dll
%SystemRoot%\ctfmon.exe
變量聲明：
%SystemDriver% 系統(tǒng)所在分區(qū)，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時(shí)文件夾，通常為“C:\Documents and Settings\當(dāng)前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統(tǒng)程序默認(rèn)安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
1、創(chuàng)建進(jìn)程快照遍歷進(jìn)程查找mir1.dat進(jìn)程，如果找到，試圖打開并結(jié)束該進(jìn)程；然后再次遍歷進(jìn)程查找是否仍有mir1.dat進(jìn)程，如果沒有，執(zhí)行下一步，否則繼續(xù)查找并結(jié)束該進(jìn)程；
2、查找窗口是否有“legend of mir2”窗口，如果有，試圖以"EndTask"結(jié)束該窗口；
3、創(chuàng)建進(jìn)程快照遍歷進(jìn)程繼續(xù)查找mir4.dat、mir.exe進(jìn)程,如果找到，也試圖打開并結(jié)束進(jìn)程，然后判斷進(jìn)程是否結(jié)束，結(jié)束則執(zhí)行下一步，否則繼續(xù)查找并結(jié)束該進(jìn)程；
4、遍歷注冊(cè)表HK_C_U\Software\Microsoft\Windows\ShellNoRoam\MUICache查找“mir”，找到熱血傳奇游戲的安裝目錄；在該目錄下創(chuàng)建動(dòng)態(tài)庫文件comres.dll（替換系統(tǒng)正常comres.dll），并設(shè)置文件屬性為系統(tǒng)隱藏；游戲運(yùn)行后，會(huì)優(yōu)先加載自己目錄下的comres.dll，從而達(dá)到替換系統(tǒng)正常comres.dll的目的；comres.dll運(yùn)行后，會(huì)創(chuàng)建全局消息鉤子，盜取用戶游戲用戶名和密碼，發(fā)送到黑客指定網(wǎng)址；
5、如果沒有找到游戲安裝目錄，獲取臨時(shí)文件夾目錄%Temp%,在該目錄下創(chuàng)建動(dòng)態(tài)庫文件13172265n15.dll（文件名隨機(jī)），設(shè)置文件屬性為系統(tǒng)隱藏；
6、找開互斥體“crexcqasdfgh”，如果已有一個(gè)實(shí)例運(yùn)行，則跳過以下安全軟件查找過程，執(zhí)行下一步；
7、創(chuàng)建進(jìn)程快照查找進(jìn)程“avp.exe”、“RavMonD.exe”、“360rp.exe”、“360sd.exe”、“360tray.exe”、“360safe.exe”，如果沒有找到以上安全進(jìn)程，病毒會(huì)將C:\WINDOWS\notepad.exe復(fù)制為C:\WINDOWS\ctfmon.exe;遍歷進(jìn)程查找進(jìn)程中是否有ctfmon.exe，如果沒有，則打開C:\WINDOWS\ctfmon.exe；以參數(shù)“wwhko”加載動(dòng)態(tài)庫13172265n15.dll，設(shè)置全局消息鉤子，當(dāng)用戶游戲運(yùn)行，會(huì)加載被病毒感染的ctfmon.exe，獲取消息，用以保存用戶名和密碼信息，然后連接網(wǎng)絡(luò)發(fā)送到黑客指定網(wǎng)址，結(jié)束后，以參數(shù)“wwhkf”加載動(dòng)態(tài)庫13172265n15.dll,摘除消息鉤子；
8、如果找到上述安全軟件進(jìn)程中的任何一個(gè)，病毒會(huì)創(chuàng)建線程，遍歷所有磁盤查找是否有“mir.exe”游戲文件，然后找到游戲安裝目錄，創(chuàng)建文件comres.dll，游戲運(yùn)行過程中會(huì)加載該動(dòng)態(tài)庫；
9、最后調(diào)用系統(tǒng)rundll32.exe以參數(shù)“DeleteSelf”加載動(dòng)態(tài)庫13172265n15.dll,刪除病毒原文件；
病毒創(chuàng)建文件：
熱血傳奇安裝目錄\comres.dll
%Temp%\13172265n15.dll
%SystemRoot% \ctfmon.exe
