beplay体育app下载/欧国联含金量高吗/辽宁篮球直播/福彩快乐8走势图一定牛

   
首 頁  |  微點新聞  |  業(yè)界動態(tài)  |  安全資訊  |  安全快報  |  產(chǎn)品信息  |  網(wǎng)絡(luò)版首頁
通行證  |  客服中心  |  微點社區(qū)  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

天龍八部游戲盜號木馬Trojan-PSW.Win32.OnLineGames.bwdq

天龍八部游戲盜號木馬

Trojan-PSW.Win32.OnLineGames.bwdq

捕獲時間

2011-11-24

危害等級



病毒癥狀

   該樣本是使用“C/VC ”編寫的“天龍八部游戲盜號程序”,由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式,企圖躲避特征碼掃描,加殼后長度為“45,980”字節(jié),圖標為“”,使用“exe”擴展名,通過文件捆綁、網(wǎng)頁掛馬、下載器下載等方式進行傳播。病毒主要目的為盜取網(wǎng)絡(luò)游戲“天龍八部”的“游戲帳號”、“密碼”等相關(guān)信息。
   用戶中毒后,會出現(xiàn)“天龍八部” 游戲無故關(guān)閉、輸入用戶名、密碼、密保時,將盜竊的信息發(fā)送到指定的黑客地址,游戲運行緩慢的現(xiàn)象,相關(guān)殺軟失效,最終將導(dǎo)致虛擬財產(chǎn)被黑客盜取。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網(wǎng)頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設(shè)置,微點主動防御將自動保護您的系統(tǒng)免受該病毒的入侵和破壞。無論您是否已經(jīng)升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發(fā)現(xiàn)該病毒后將報警提示您發(fā)現(xiàn)“未知間諜”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經(jīng)將微點主動防御軟件升級到最新版本,微點將報警提示您發(fā)現(xiàn)木馬"Trojan-PSW.Win32.OnLineGames.bwdq”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.手動刪除文件

%SystemRoot%\fonts\mgt09004.ttf
%temp%\0098E982mdd.temp
%temp%\00A84053eime.temp
%SystemRoot%\system32\jahjah09.exe
%SystemRoot%\system32\mgt09004.ocx
%SystemRoot%\system32\mgt99008.ocx

2. 刪除輸入法中“US”項

3  刪除注冊表信息:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layouts\E0210804
名稱:Ime File
數(shù)據(jù):MGT99008.OCX
名稱:Layout File
數(shù)據(jù):kbdus.dll

變量聲明:

  %SystemDriver%       系統(tǒng)所在分區(qū),通常為“C:\”
  %SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
  %Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
  %Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
  %ProgramFiles%       系統(tǒng)程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1.獲取病毒的當前權(quán)限,然后將該病毒權(quán)限修改為"SeDebugPrivilege"權(quán)限。
2.獲取該Windows目錄下路徑,在該目錄下創(chuàng)建"C:\WINDOWS\fonts\mgt09004.ttf"文件,并將網(wǎng)絡(luò)地址“http://vjnhg.j****.com:55/f**/se11.aspx”寫入該文件末尾。
3. 獲得臨時文件夾路徑,在該目錄下創(chuàng)建"%temp%\0098E982mdd.temp"文件,并將該"%temp%\0098E982mdd.temp"文件以移動的方式并重新命名為"C:\WINDOWS\system32\mgt09004.ocx"文件,緊接著刪除"%temp%\0098E982mdd.temp"文件。
4. 獲得臨時文件夾路徑,在該目錄下創(chuàng)建"%temp%\00A84053eime.temp"文件,并將該"%temp%\00A84053eime.temp"文件以移動的方式并重新命名為"C:\WINDOWS\system32\mgt99008.ocx"文件,緊接著刪除"%temp%\00A84053eime.temp"文件
5.獲取系統(tǒng)目錄路徑,在該目錄下將"C:\WINDOWS\system32\rundll32.exe"文件以拷貝的方式并重新命名為"C:\WINDOWS\system32\jahjah09.exe"文件。
6.通過進程快照函數(shù),遍歷查找"Explorer.EXE"進程,如果找到以后進行提權(quán)操作,遍歷查找"C:\data\elements.data"文件,找到以后關(guān)閉查找文件句柄,打開該" Explorer.EXE"目標進程",并通過一套遠程注入函數(shù)注入到Explorer.EXE進程。目的是隱藏的加載"C:\WINDOWS\system32\mgt99008.ocx"文件,并注入到Explorer.EXE進程里,只要系統(tǒng)Explorer.EXE進程不終止運行,該dll文件就不會從內(nèi)存中卸載掉。
7.如果找不到"Explorer.EXE"進程,就遍歷文件查找"C:\WINDOWS\system32\mgt09004.ocx"文件,找到以后關(guān)閉文件句柄。
8.建立進程"C:\WINDOWS\system32\jahjah09.exe  C:\WINDOWS\system32\mgt09004.ocx  pfjaoidjglkajd  C:\sample.exe"并以隱藏的方式啟動起來。
9. 遍歷文件查找" C:\WINDOWS\system32\mgt99008.ocx"文件,找到以后關(guān)閉文件句柄。緊接著建立建立進程" "C:\WINDOWS\system32\jahjah09.exe  C:\WINDOWS\system32\mgt99008.ocx  pfjieaoidjglkajd"并以隱藏的方式啟動起來,然后退出主程序。
10. “mgt09004.ocx”文件被"C:\WINDOWS\system32\jahjah09.exe"以"pfjieaoidjglkajd  C:\sample.exe "參數(shù)加載起來:建立互斥變量,以及查找"360safe.exe","360tray.exe","config.exe",進程,然后終止相應(yīng)進程。獲取Windows路徑,找到"C:\WINDOWS\fonts\mgt09004.ttf"文件,將一些字符寫進該文件中。目的是將盜竊的信息發(fā)送到這個URL地址。并建立線程:主要是遍歷進程快照,查找進程名稱為"game.exe","launch.exe"以及"TLBBDownload.bin",查找到以后結(jié)束這些進程。查找窗口信息為"NONE",以及繼續(xù)遍歷進程快照,查找進程名稱為"game.exe"查找到以后結(jié)束該進程。遍歷文件查找“C:\sample.exe”,并緊接著刪除“C:\sample.exe”文件。
11. “mgt99008.ocx”文件被"C:\WINDOWS\system32\jahjah09.exe"以"pfjieaoidjglkajd"參數(shù)加載起來:主要是遍歷文件,查找     "C:\WINDOWS\system32\mgt99*.ocx"文件,找到以后,繼續(xù)查找"C:\WINDOWS\system32\ mgt99008.ocx "文件,找到以后關(guān)閉文件句柄。并設(shè)置添加一個“US”輸入法,輸入法的狀態(tài)為默認狀態(tài)。也可以到達開機自動的目的。通過注冊表的讀寫操作,進行輸入法的劫持。注冊表的信息:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layouts\E0210804
      名稱:Ime File
      數(shù)據(jù):MGT99008.OCX
      名稱:Layout File
      數(shù)據(jù):kbdus.dll
      目的是:劫持輸入法,將MGT99008.OCX文件與輸入法相關(guān)聯(lián)起來。以達到下一次機器啟動的時候病毒自啟動的目的。

病毒創(chuàng)建文件:

%SystemRoot%\fonts\mgt09004.ttf
%temp%\0098E982mdd.temp
%temp%\00A84053eime.temp

病毒拷貝文件:

%SystemRoot%\system32\jahjah09.exe

病毒移動文件:

%SystemRoot%\system32\mgt09004.ocx
%SystemRoot%\system32\mgt99008.ocx

病毒創(chuàng)建注冊表:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layouts\E0210804
   名稱:Ime File
   數(shù)據(jù):MGT99008.OCX
   名稱:Layout File
   數(shù)據(jù):kbdus.dll

病毒訪問網(wǎng)絡(luò):

http://vjnhg.j****.com:55/f**/se11.aspx

免費試用
下  載
安裝演示