找回密码
 注册创意安天

Worm/Win32.Downloader.aao分析

[复制链接]
发表于 2009-2-20 18:36 | 显示全部楼层 |阅读模式
一、 病毒标签:
病毒名称: Worm.Win32.Downloader.aao
病毒类型: 木马
文件 MD5: 1C2024D801A3D0A7559829870F2F320D
公开范围: 完全公开
危害等级: 4
文件长度: 23,881 字节
感染系统: Windows98以上版本
加壳类型: UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]

二、 病毒描述:
该病毒为QQ华夏游戏盗号木马,病毒运行后,获取当前进程伪句柄,获取当前进程的PEB,判断当前进程PID是否在explorer.exe进程PID,如不是则退出,病毒运行后释放随机病毒名文件到%System32%目录下,添加注册表hook启动项,待病毒运行完毕后释放批处理删除自身。
DLL文件分析:判断自身是否在explorer.exe进程中,如是则继续运行、否则退出,删除%System32%和%Temp%目录下的e.tmp、f.tmp临时文件,创建BAT批处理文件,利用API函数调用BAT文件,用于删除%System32%目录下的e.tmp文件,并将自身移动到%System32%目录下,查找HBInject32窗口并发送WM_COPYDATA消息,设置鼠标消息钩子,判断自身是否注入在QQhxgame.exe进程中,如是则创建线程,通过消息钩子截取游戏账号及密码,通过URL方式发送到病毒作者指定的地址中。

三、 行为分析:
本地行为:
1、获取当前进程伪句柄,获取当前进程的PEB,判断当前进程PID是否在explorer.exe进程PID,如不是则退出,待病毒运行完毕后释放批处理删除自身

2、文件运行后会释放以下文件
%System32%\fppnlcmk.dll  (随机病毒名)

3、添加注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
新: 字符串: "fppnlcmk.dll"
旧: 字符串: ""
KEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3972BC23-A0D8-4A40-A02A-EA27E799C4E3}\InProcServer32\@
值: 字符串: "C:\WINDOWS\system32\fppnlcmk.dll"
描述:添加注册表启动项

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\3972BC23
值: 字符串: "{3972BC23-A0D8-4A40-A02A-EA27E799C4E3}"
描述:添加hook启动项

4、判断自身是否在explorer.exe进程中,如是则继续运行、否则退出,删除%System32%和%Temp%目录下的e.tmp、f.tmp临时文件,创建BAT批处理文件,利用API函数调用BAT文件,用于删除%System32%目录下的e.tmp文件,并将自身移动到%System32%目录下,查找HBInject32窗口并发送WM_COPYDATA消息,设置鼠标消息钩子,判断自身是否注入在QQhxgame.exe进程中,如是则创建线程,通过消息钩子截取游戏账号及密码

网络行为:
协议:TCP
端口:80
连接地址:http://70169**.com/qqhxlook/link007/post.asp
描述:通过URL方式发送到病毒作者指定的地址中

注:%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
   %Windir%              WINDODWS所在目录
    %DriveLetter%            逻辑驱动器根目录
    %ProgramFiles%           系统程序默认安装目录
    %HomeDrive%           当前启动的系统的所在分区
    %Documents and Settings%       当前用户文档根目录
    %Temp%             \Documents and Settings
                      \当前用户\Local Settings\Temp
    %System32%            系统的 System32文件夹
    
    Windows2000/NT中默认的安装路径是C:\Winnt\System32
    windows95/98/me中默认的安装路径是%WINDOWS%\System
    windowsXP中默认的安装路径是%system32%   


四、 清除方案:
1、使用安天防线可彻底清除此病毒(推荐)。
请到安天网站下载:http://www.antiy.com
2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。
(1)使用ATOOL管理工具,“进程管理“查找explorer.exe进程模块fppnlcmk.dll找到后强行卸载
(2) 强行删除病毒下载的大量病毒文件
%System32%\fppnlcmk.dll
(3)删除病毒添加的注册表启动项及劫持的安全软件项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows\AppInit_DLLs
删除AppInit_DLLs键下的fppnlcmk.dll键

KEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3972BC23-A0D8-4A40-A02A-EA27E799C4E3}\InProcServer32\@
删除@键下所有键值

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\3972BC23
删除3972BC23键下{3972BC23-A0D8-4A40-A02A-EA27E799C4E3}键值

[ 本帖最后由 flyleaf 于 2009-2-20 18:43 编辑 ]
您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

Archiver|手机版|小黑屋|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-11-7 08:04

Powered by Discuz! X3.5

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表