Trojan-GameThief.Win32.OnLineGames.tkyl分析

一、 病毒标签：
病毒名称： Trojan-GameThief.Win32.OnLineGames.tkyl
病毒类型： 木马
文件 MD5： 5A61EFA9B4B731BD787FF75238CB1D7C
公开范围： 完全公开
危害等级： 3
文件长度： 12,416 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++
加壳类型： Upack0.37
二、 病毒描述：
该病毒属于盗号类木马，病毒运行后，首先在%WinDir%\MayaBaby目录下创建MayaBabyDll.dat、rizxw.dat；停止Beep服务，复制rizxw.dat替换原系统文件beep.sys，然后执行Beep服务，这样系统重新启动时，原系统服务Beep便会加载被替换了的驱动文件rizxw.dat；恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效；随后复制自身到%WinDir%\MayaBaby下，新增注册表项，创建病毒服务network services，已达到随机启动病毒文件的目的；通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程；在%System32%下生成me.bat，用于删除原病毒文件和自身。
三、 行为分析：
本地行为:
1、 文件运行后会释放以下文件
%WinDir%\MayaBaby\MayaBabyDll.dat                            11.776字节
%WinDir%\MayaBaby\MayaBabyMain.exe                          12,416 字节
%WinDir%\MayaBaby\rizxw.dat                                   2.560字节
%System32%\dllcache\beep.sys                                    2.560字节
%System32%\drivers\beep.sys                                     2.560字节
2、 新增注册表，创建病毒服务Network Services
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Network Services]
注册表值: " DisplayName "
类型： REG_SZ
字符串： "网络服务"
描述:服务名称
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Network Services]
注册表值: "ImagePath"
类型： REG_SZ
字符串： " C:\WINDOWS\MayaBaby\MayaBabyMain.exe"
描述:服务的映像文件的启动路径
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Network Services]
注册表值: "ObjectName"
类型： REG_SZ
字符串： "LocalSystem"
描述:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Network Services]
注册表值: "Start "
类型： DWORD
值： 2
描述:服务的启动方式为自动
3、 恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效
4、 通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程
5、 在%System32%下生成me.bat，在病毒执行完自身代码后，用于删除原病毒文件和自身。


注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
   %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是C:\Windows\System
　　　　windowsXP中默认的安装路径是C:\Windows\System32　　　

四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用ATOOL“进程管理”关闭病毒进程           
(2) 删除病毒文件
%WinDir%\MayaBaby\MayaBabyDll.dat
%WinDir%\MayaBaby\MayaBabyMain.exe
%WinDir%\MayaBaby\rizxw.dat
%System32%\dllcache\beep.sys
%System32%\drivers\beep.sys
(3) 删除病毒添加的注册表项
删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下的Network Services子键