Trojan/GameThief.Win32.Magania.abou[Stealer]分析

一、 病毒标签：
病毒名称： Trojan/GameThief.Win32.Magania.abou[Stealer]
病毒类型： 木马
文件 MD5： DBE7E67CA2B5718CE876BF644353E5A6
公开范围： 完全公开
危害等级： 4
文件长度： 113,283 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0 [Overlay]
二、 病毒描述：
该病毒为木马类病毒，病毒运行后，创建互斥量，获取当前所在用户、获取网卡MAC地址、衍生935890_res.tmp（随机病毒名）到临时目录下，调用API函数获取本地时间将文件时间创建设置为2004年8月17日，使用函数将自身移动到同目录下并重命名为：875500_ex.tmp（随机病毒名）、并将文件属性为隐藏，然后将自身删除，动态加载病毒文件875500_ex.tmp，动态获取ResetSSDT模块函数地址，调用该DLL函数地址，释放病毒驱动文件到%system32%\Drivers\下，替换该目录下的beep.sys文件，实现通过系统服务加载病毒驱动文件，恢复SSDT达到饶过部分安全软件的时时监控，创建病毒驱动设备名：\\.\RESSDTDOS，添加注册表病毒服务启动项，删除%system32%目录下的Iasmic.dll文件，并释放一个同名文件到该目录下，查找窗口类名、Button按纽，如发现该窗体含有 “允许此动作”、“确定”的字样，则利用鼠标模拟点击该按纽，将病毒DLL文件插入svchost.exe进程中进程通信，病毒运行后连接网络等待控制端发送的控制命令。
三、 行为分析：
本地行为:
1、文件运行后会释放以下文件
%system32%\drivers\beep.sys
%system32%\dllcache\beep.sys
%system32%\Iasmic.dll
c:\Documents and Settings\a\Local Settings\Temp\377328_ex.tmp（随机病毒名）
2、调用API函数获取本地时间将文件时间创建设置为2004年8月17日，使用MoveFileA函数将自身移动到同目录下并重命名为：875500_ex.tmp（随机病毒名）、并将文件属性为隐藏，然后将自身删除
3、修改注册表、添加注册表启动项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias\Description
值: 字符串: "监测和监视新硬件设备并自动更新设备驱动"
描述：病毒服务描述
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias\DisplayName
值: 字符串: "Microsoft Device Manager"
描述：病毒服务名
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias\ImagePath
值: 字符串: "%SystemRoot%\System32\svchost.exe -k netsvcs."
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias\Parameters\ServiceDll
值: 类型: 字符串: "%system32%\Iasmic.dll."
描述：病毒启动项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias\Start
值: DWORD: 2 (0x2)
描述：病毒服务方式为手动
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias\Type
值: DWORD: 288 (0x120)
4、动态加载病毒文件875500_ex.tmp，动态获取ResetSSDT函数地址，调用该DLL函数地址，释放病毒驱动文件到%system32%\Drivers\下，替换该目录下的beep.sys文件，实现通过系统服务加载病毒驱动文件，恢复SSDT达到饶过部分安全软件的时时监控，创建病毒驱动设备名：\\.\RESSDTDOS
5、删除%system32%目录下的Iasmic.dll文件，并释放一个同名文件到该目录下，调用FindWindowExA函数查找窗口类名、Button按纽，如发现该窗体含有 “允许此动作”、“确定”的字样，则利用鼠标模拟点击该按纽，将病毒DLL文件插入svchost.exe进程中进程通信
网络行为:
协议：TCP
端口：85
连接IP地址：220.179.224.***
描述：连接IP地址等待控制端发送控制命令
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir% 　　　　　 　　　　　  WINDODWS所在目录
　　　　%DriveLetter%　 　　　　　　　   逻辑驱动器根目录
　　　　%ProgramFiles%　 　 　　　　　  系统程序默认安装目录
　　　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　%Documents and Settings% 　　　   当前用户文档根目录
　　　　%Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　  \当前用户\Local Settings\Temp
　　　　%System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　windows95/98/me中默认的安装路径是%WINDOWS%\System
　　　　windowsXP中默认的安装路径是%system32%　　　

四、 清除方案：
1、使用安天防线可彻底清除此病毒(推荐)。
请到安天网站下载：http://www.antiy.com
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
（1）使用ATOOL管理工具，“进程管理“查找svchost.exe进程模块名Iasmic.dll找到后将其卸载
（2） 强行删除病毒文件
%system32%\drivers\beep.sys
%system32%\dllcache\beep.sys
%system32%\Iasmic.dll
%Documents and Settings%\当前用户\Local Settings\Temp\377328_ex.tmp
（3）删除病毒启动项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Ias
删除Services键下的Ias主键值