Trojan-GameThief.Win32.OnLineGames.tkyl分析
一、 病毒标签：病毒名称： Trojan-GameThief.Win32.OnLineGames.tkyl
病毒类型： 木马
文件 MD5： 5A61EFA9B4B731BD787FF75238CB1D7C
公开范围： 完全公开
危害等级： 3
文件长度： 12,416 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++
加壳类型： Upack0.37
二、 病毒描述：
该病毒属于盗号类木马，病毒运行后，首先在%WinDir%\MayaBaby目录下创建MayaBabyDll.dat、rizxw.dat；停止Beep服务，复制rizxw.dat替换原系统文件beep.sys，然后执行Beep服务，这样系统重新启动时，原系统服务Beep便会加载被替换了的驱动文件rizxw.dat；恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效；随后复制自身到%WinDir%\MayaBaby下，新增注册表项，创建病毒服务network services，已达到随机启动病毒文件的目的；通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程；在%System32%下生成me.bat，用于删除原病毒文件和自身。
三、 行为分析：
本地行为:
1、 文件运行后会释放以下文件
%WinDir%\MayaBaby\MayaBabyDll.dat 11.776字节
%WinDir%\MayaBaby\MayaBabyMain.exe 12,416 字节
%WinDir%\MayaBaby\rizxw.dat 2.560字节
%System32%\dllcache\beep.sys 2.560字节
%System32%\drivers\beep.sys 2.560字节
2、 新增注册表，创建病毒服务Network Services
注册表值: " DisplayName "
类型： REG_SZ
字符串： "网络服务"
描述:服务名称
注册表值: "ImagePath"
类型： REG_SZ
字符串： " C:\WINDOWS\MayaBaby\MayaBabyMain.exe"
描述:服务的映像文件的启动路径
注册表值: "ObjectName"
类型： REG_SZ
字符串： "LocalSystem"
描述:
注册表值: "Start "
类型： DWORD
值： 2
描述:服务的启动方式为自动
3、 恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效
4、 通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程
5、 在%System32%下生成me.bat，在病毒执行完自身代码后，用于删除原病毒文件和自身。
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是C:\Windows\System
windowsXP中默认的安装路径是C:\Windows\System32
四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用ATOOL“进程管理”关闭病毒进程
(2) 删除病毒文件
%WinDir%\MayaBaby\MayaBabyDll.dat
%WinDir%\MayaBaby\MayaBabyMain.exe
%WinDir%\MayaBaby\rizxw.dat
%System32%\dllcache\beep.sys
%System32%\drivers\beep.sys
(3) 删除病毒添加的注册表项
删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下的Network Services子键
页:
[1]