创意安天

 找回密码
 注册创意安天

Trojan/Win32.Kykymber.nxa[PSW]分析

[复制链接]
发表于 2011-8-31 11:30 | 显示全部楼层 |阅读模式
一、 病毒标签:
病毒名称: Trojan/Win32.Kykymber.nxa[PSW]
病毒类型: 盗号木马
文件MD5:C084F9909D6AAC9C99B3E72630BBC5F2
公开范围: 完全公开
危害等级: 3
文件长度: 29,212字节
感染系统: Windows 2000以上版本
开发工具: Microsoft Visual C++ 6.0
加壳类型: UPX 0.89.6 - 1.02 / 1.05 - 1.24

二、 病毒描述:
该恶意代码文件为鹿鼎记网络游戏盗号木马。病毒运行后遍历进程查找ldjgame.exe、e.exe、launch.exe进程,找到后尝试结束,其中ldjgame.exe、launch.exe为游戏进程。病毒添加注册表项,劫持输入法,达到自启动目的。衍生dbr31004.ocx、dbr99008.ocx文件,并注入到系统进程explorer.exe中,盗取网络游戏鹿鼎记账号、密码、分区、等信息,然后将盗取的信息发送到上传到指定的地址中。

三、 行为分析:
本地行为:
1.病毒运行后会释放以下文件
  %WINDIR%\Fonts\dbr31004.ttf(加密的URL地址,病毒盗取的账户信息发送到此地址)
  %system32%\dbr31004.ocx        (盗号主功能文件,DLL文件)
  %system32%\dbr99008.ocx(劫持输入法文件,DLL文件)
  %system32%\gbvgbv31.exe(复制的系统rundll32.exe文件)
2.病毒运行后,添加注册表项
键:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layouts\E0210804
项:Ime File
值:"DBR99008.OCX"
项:Layout File
值:" kbdus.dll"
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layouts\E0220804
项:Ime File
值:"DBR99008.OCX"
项:Layout File
值:" kbdus.dll"
描述:劫持输入法,将dbr99008.ocx与输入法关联,达到开机启动的目的。
      添加一个US输入法,并设置为默认以达到开机自启动的目的。
3.病毒衍生两个随机命名的文件到%temp%目录,再将两文件移动到%system32%目录下,并重命名为dbr31004.ocx和dbr99008.ocx。
4.病毒遍历进程,查找explorer.exe进程,找到后对进程进行提权操作,然后将dbr31004.ocx、dbr99008.ocx两个文件注入到explorer.exe进程中。
5.病毒复制系统文件rundll32.exe到%system32%目录下并重命名为gbvgbv31.exe,再创建进程执行命令"C:\WINDOWS\system32\gbvgbv31.exe C:\WINDOWS\system32\dbr31004.ocx pfjaoidjglkajd s%",通过调用内部函数执行dbr31004.ocx。
注:其中s%为病毒文件路径
6.病毒执行完以上操作后结束自身进程并删除自身文件。

网络行为:
        协议:TCP/HTTP
        端口:9962
        IP地址:61.164.144.**
        URL:http:// gucci.t****.com:9962/Fone9/just.asp
        描述:通过GET方法将窃取的账户信息发送到URL地址中

        注:
        %System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir%             WINDODWS所在目录
          %DriveLetter%          逻辑驱动器根目录
          %ProgramFiles%          系统程序默认安装目录
          %HomeDrive%           当前启动的系统的所在分区
          %Documents and Settings%    当前用户文档根目录
         %Temp%          \Documents and Settings\当前用户\Local   Settings\Temp
          %System32%           系统的 System32文件夹
          Windows2000/NT中默认的安装路径是C:\Winnt\System32
          Wndows95/98/me中默认的安装路径是C:\Windows\System
          WindowsXP中默认的安装路径是C:\Windows\System32

四、 清除方案:
1.使用安天防线可彻底清除此病毒(推荐)。
  请到安天网站下载:http://www.antiy.com
2.手工清除请按照行为分析删除对应文件,恢复相关系统设置。
  推荐使用ATool管理工具,请点击下载(http://www.antiyfx.com/download/atool.zip)。
1) 进入安全模式,使用ATOOL管理工具,“文件管理”擦出病毒文件dbr31004.ocx、dbr99008.ocx。
2) 删除输入法中US项。
3) 删除被修改注册表键值。
您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

小黑屋|手机版|Archiver|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-2-21 17:14

Powered by Discuz! X3.4

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表