Trojan/Win32.OnLineGames.bkzf[GameThief]分析

一、 病毒标签：
病毒名称： Trojan/Win32.OnLineGames.bkzf[GameThief]
病毒类型： 木马
文件 MD5： AB073F973AE8C37C0C6C1118353C0BE1
公开范围： 完全公开
危害等级： 4
文件长度： 38,980 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： nSPack 2.1 - 2.5

二、 病毒描述：
该病毒为木马类，病毒运行后衍生病毒文件到系统目录下，删除原注册表中的部分启动项，添加病毒启动项、病毒服务；尝试添加影响劫持，但由于病毒作者路径写入错误，导致功能失败；连接网络下载病毒列表文件，依照列表文件下载病毒文件并运行；所下载的文件为偷取当前主流网络游戏类的木马，病毒运行完毕后删除自身。

三、 行为分析：
本地行为:
1、文件运行后会释放以下文件
%System32%\updater.exe                                        38,980 字节
%System32%\drivers\pcidump.sys                        11,904 字节
%Temp%\~Frm.exe                                                13,312 字节
%Temp%\tmp.tmp                                                        2,986 字节

2、删除写列注册表项下的所有键值
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\PCIDump]
3、新增注册表添加病毒的启动方式
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值: "updater"
类型： REG_SZ
值: "C:\WINDOWS\system32\updater.exe"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump]
注册表值: "DisplayName"
类型： REG_SZ
值: "pcidump"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump]
注册表值: "ImagePath"
类型： REG_SZ
值: "\??\C:\WINDOWS\system32\drivers\pcidump.sys."
4、新增注册表尝试添加映像劫持。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe]
注册表值: "avp.exe"
类型： REG_SZ
值: "C:\WINDOWS\system32\svchost.exe"
欲劫持的程序名称列表如下：
142Qcdg`mz,gzg、142vpc{,gzg、360Safebox.exe、360tray.exe、`fceglv,gzg、aacrr,gzg、AAglvgp,gzg、aaGtvOep,gzg、aaQgvOep,gzg、AgentSvr.exe、antiarp.exe、avp.exe、bdagent.exe、ccapp.exe、ccEvtMgr.exe、ccSetMgr.exe、CeglvQtp,gzg、clvkcpr,gzg、ctr,gzg、defwatch.exe、egui.exe、ekrn.exe、fgducvaj,gzg、gewk,gzg、gipl,gzg、IctQvcpv,gzg、IKQQta,gzg、iocknoml,gzg、IRDU10,GZG、ITOmlZR,IZR、ITQptZR,gzg、KavStart.exe、kmailmon.exe、KPFW32.EXE、KVMonXP.KXP、KVSrvXP.exe、livesrv.exe、mcagent.exe、mcinsupd.exe、mcmscsvc.exe、McNASvc.exe、McProxy.exe、mcshell.exe、Mcshield.exe、mcsysmon.exe、mcupdmgr.exe、MpfSrv.exe、MPSVC.EXE、MPSVC3.EXE、nktgqpt,gzg、oaceglv,gzg、oaklqwrf,gzg、OaLCQta,gzg、oaoqaqta,gzg、oaqjgnn,gzg、Oaqjkgnf,gzg、oaq{qoml,gzg、OaRpmz{,gzg、oawrfoep,gzg、OrdQpt,gzg、ORQTA,GZG、ORQTA1,GZG、Pct,gzg、PctOml,gzg、PctOmlF,gzg、PctQvw`,gzg、PctVcqi,gzg、PqCeglv,gzg、pqlgvqtp,gzg、PqVpc{,gzg、pvtqacl,gzg、QaclDpo,gzg、qcdg`mzVpc{,gzg、QQDoctor.exe、Rav.exe、RavMon.exe、RavMonD.exe、RavStub.exe、RavTask.exe、RsAgent.exe、rsnetsvr.exe、RsTray.exe、rtvscan.exe、safeboxTray.exe、ScanFrm.exe、SSFmavmp,gzg、tqqgpt,gzg、trvpc{,gzg、vptray.exe、vsserv.exe、xcommsvr.exe、zamooqtp,gzg

网络行为:
1、连接网络下载病毒文件列表，依照病毒列表文件下载病毒样本并执行
http://k.18i16**.net:6555/js.txt

2、下载的病毒文件列表如下：
http://czxcz***.cn:6555/1/ok.exe
http://czxcz***.cn:6555/1/aa01.exe
http://czxcz***.cn:6555/1/aa02.exe
http://czxcz***.cn:6555/1/aa03.exe
http://czxcz***.cn:6555/1/aa04.exe
http://czxcz***.cn:6555/1/aa21b.exe
http://czxcz***.cn:6555/1/aa05a.exe
http://czxcz***.cn:6555/1/aa06a.exe
http://czxcz***.cn:6555/1/aa07.exe
http://czxcz***.cn:6555/1/aa08b.exe
http://czxcz***.cn:6555/1/aa09.exe
http://czxcz***.cn:6555/1/aa10a.exe
http://czxcz***.cn:6555/1/aa11.exe
http://czxcz***.cn:6555/1/aa12.exe
http://czxcz***.cn:6555/1/aa13.exe
http://czxcz***.cn:6555/1/aa14.exe
http://czxcz***.cn:6555/1/aa32a.exe
http://czxcz***.cn:6555/1/aa15b.exe
http://czxcz***.cn:6555/1/aa17.exe
http://czxcz***.cn:6555/1/aa18.exe
http://czxcz***.cn:6555/1/aa19.exe
http://czxcz***.cn:6555/1/aa20.exe
http://czxcz***.cn:6555/1/aa29.exe
http://czxcz***.cn:6555/1/aa22.exe
http://czxcz***.cn:6555/1/aa23.exe
http://czxcz***.cn:6555/1/aa24.exe
http://czxcz***.cn:6555/1/aa25.exe
http://czxcz***.cn:6555/1/aa26c.exe
http://czxcz***.cn:6555/1/aa27a.exe
http://czxcz***.cn:6555/1/aa28.exe
http://czxcz***.cn:6555/1/aa30.exe
http://czxcz***.cn:6555/1/aa31a.exe
http://czxcz***.cn:6555/1/ms.exe

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\                           WINDODWS所在目录
%DriveLetter%\                        逻辑驱动器根目录
%ProgramFiles%\                        系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\        当前用户文档根目录

四、 清除方案：
1、使用安天防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天防线工具中的“进程管理”关闭病毒进程
当前用户下的svchost.exe进程
(2) 删除病毒文件
%System32%\updater.exe
%System32%\drivers\pcidump.sys
%Temp%\~Frm.exe
%Temp%\tmp.tmp
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
删除下面的注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值: "updater"
类型： REG_SZ
值: "C:\WINDOWS\system32\updater.exe"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump]
注册表值: "DisplayName"
类型： REG_SZ
值: "pcidump"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pcidump]
注册表值: "ImagePath"
类型： REG_SZ
值: "\??\C:\WINDOWS\system32\drivers\pcidump.sys."
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe]
注册表值: "avp.exe"
类型： REG_SZ
值: "C:\WINDOWS\system32\svchost.exe"
欲劫持的程序名称列表如下：
142Qcdg`mz,gzg、142vpc{,gzg、360Safebox.exe、360tray.exe、`fceglv,gzg、aacrr,gzg、AAglvgp,gzg、aaGtvOep,gzg、aaQgvOep,gzg、AgentSvr.exe、antiarp.exe、avp.exe、bdagent.exe、ccapp.exe、ccEvtMgr.exe、ccSetMgr.exe、CeglvQtp,gzg、clvkcpr,gzg、ctr,gzg、defwatch.exe、egui.exe、ekrn.exe、fgducvaj,gzg、gewk,gzg、gipl,gzg、IctQvcpv,gzg、IKQQta,gzg、iocknoml,gzg、IRDU10,GZG、ITOmlZR,IZR、ITQptZR,gzg、KavStart.exe、kmailmon.exe、KPFW32.EXE、KVMonXP.KXP、KVSrvXP.exe、livesrv.exe、mcagent.exe、mcinsupd.exe、mcmscsvc.exe、McNASvc.exe、McProxy.exe、mcshell.exe、Mcshield.exe、mcsysmon.exe、mcupdmgr.exe、MpfSrv.exe、MPSVC.EXE、MPSVC3.EXE、nktgqpt,gzg、oaceglv,gzg、oaklqwrf,gzg、OaLCQta,gzg、oaoqaqta,gzg、oaqjgnn,gzg、Oaqjkgnf,gzg、oaq{qoml,gzg、OaRpmz{,gzg、oawrfoep,gzg、OrdQpt,gzg、ORQTA,GZG、ORQTA1,GZG、Pct,gzg、PctOml,gzg、PctOmlF,gzg、PctQvw`,gzg、PctVcqi,gzg、PqCeglv,gzg、pqlgvqtp,gzg、PqVpc{,gzg、pvtqacl,gzg、QaclDpo,gzg、qcdg`mzVpc{,gzg、QQDoctor.exe、Rav.exe、RavMon.exe、RavMonD.exe、RavStub.exe、RavTask.exe、RsAgent.exe、rsnetsvr.exe、RsTray.exe、rtvscan.exe、safeboxTray.exe、ScanFrm.exe、SSFmavmp,gzg、tqqgpt,gzg、trvpc{,gzg、vptray.exe、vsserv.exe、xcommsvr.exe、zamooqtp,gzg