Trojan/Win32.Emelent.bt[Stealer]分析

一、 病毒标签：
病毒名称： Trojan/Win32.Emelent.bt[Stealer]
病毒类型： 盗号木马
文件 MD5： B4937BC29479000B25D71EA90CFFDEA1
公开范围： 完全公开
危害等级： 4
文件长度： 18,984 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： UPX

二、 病毒描述：
该恶意代码文件是针对网络游戏《大话西游2》的盗号木马，病毒运行后首先会查找注册表键值下是否有武林2的注册表键值，遍历注册表查找安全软件进程，衍生病毒DLL文件到系统目录下，试图将DLL注入到所有进程中，设置键盘消息钩子、遍历游戏窗口读取游戏目录下的配置文件获取游戏账号密码，将账号密码发送到病毒作者指定的地址中。

三、 行为分析：
本地行为:
1、如果安装了游戏则衍生以下文件到游戏目录
大话西游2游戏安装目录\ksuser.dll   （负责加载xy2color.dll病毒文件）

如果没有安装游戏则会衍生以下文件到临时目录
%TEMP%\132560578.dll   (随机病毒名)
%TEMP%\wl.dll                  (病毒DLL文件负责截取游戏账号密码并发送出去)

2、病毒运行后读取HKEY_CLASSES_ROOT\QPWUpdatePack\DefaultIcon键值，如果读取到则继续读取武林2游戏目录下的element\userdata\server\serverlist.txt的内容查找是否含有wulin2的字串，找到后删除element目录下的ksuser.dll文件，然后从新创建一个ksuser.dll文件到游戏目录下。

3、枚举注册表 HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache(该键值记录临时运行过的程序)下的键值，判断是否有ElementClient.exe、patcher.exe、launcher.exe（武林2游戏主程序文件名）的键值，再次判断一下是否安装了武林2的游戏，衍生ksuser.dll病毒文件到游戏目录下，如果没有安装武林2游戏则不会衍生，创建互斥体cwlwzasdfgh防止病毒多次运行。

4、遍历进程查找avp.exe、KVMonXP.exe安全软件进程，如果找到存在任意一个进程，则只衍生DLL病毒文件到%TEMP%临时目录下命名为wl.dll，调用rundll32.exe以InstallService为参数加载该动态链接库文件,如果找不到以上2个安全软件进程，则衍生随机病毒名的DLL文件110928078.dll、wl.dll到%TEMP%临时目录下，试图将病毒DLL文件注入到所有进程中，然后动态LOAD衍生的随机病毒DLL文件，调用病毒DLL模块wwhko，设置消息钩子执行完毕后删除自身。

5、病毒DLL被加载之后判断自身是否在explorer.exe进程中，如果是则设置设置消息钩子，判断自身进程是否是elementclient.exe，如果是则创建2个线程，通过判断窗口名element client来读取游戏目录下的currentserver.ini配置文件获取游戏的账号密码以URL方式将获取的账号密码发送到作者地址中。

网络行为：
将窃取的账号密码发送到：http://xba.00***.com:83/at/flash.asp

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是%WINDOWS%\System
　　　　windowsXP中默认的安装路径是%system32%　　　


四、 清除方案：
1、使用安天防线可彻底清除此病毒(推荐)。
请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1）使用ATOOL管理工具，“进程管理“结束病毒110928078.dll模块
（2） 强行删除病毒文件
%TEMP%\110928078.dll
%TEMP%\dd2.dll       
删除游戏目录下的ksuser.dll、xy2color.dll