Trojan/Win32.Emelent.br[Stealer]分析

病毒标签


  病毒名称： Trojan/Win32.Emelent.br[Stealer]
病毒类型： 盗号木马
文件 MD5： FA463E6D1A149D515998B217B1AE520C
公开范围： 完全公开
危害等级： 3
文件长度： 22,056 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： UPX


病毒描述


      该恶意代码文件为大明龙权游戏盗号木马，病毒一旦运行后首选会结束游戏的进程dp.exe，查找注册表记录临时运行的程序项是否有client.exe，如果有则会将系统下的LPK.DLL复制到游戏的安装目录里面命名为syswim.dll并且在游戏目录里衍生一个clientTX.dll、LPK.DLL病毒文件并将文件设置为隐藏，通过劫持系统的LPK.DLL文件，来加载病毒文件窃取游戏账号密码，以URL方式发送到作者指定的地址中。

行为分析-本地行为


  1、如果安装了游戏则衍生以下文件到游戏目录
大明龙权游戏安装目录\LPK.DLL （负责加载clientTX.dll病毒文件）
大明龙权游戏安装目录\clientTX.dll （病毒DLL文件负责截取游戏账号密码并发送出去）

如果没有安装游戏则会衍生以下文件到临时目录
%TEMP%\161199000.dll (随机病毒名)
%TEMP%\qq.dll (病毒DLL文件负责截取游戏账号密码并发送出去)

2、遍历进程查找是否有"dp.exe"游戏进程，找到后强行结束该进程，枚举注册表 HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache（该键值记录临时运行过的程序）下的键值，判断是否有"client.exe"的键值，如果有，则将%Systme32%目录下的LPK.DLL拷贝到游戏安装目录命名成syswim.dll，创建一个clientTX.dll、LPK.DLL到游戏安装目录下，并将文件属性设置为隐藏，当用户运行游戏时，LPK.DLL文件被病毒利用已经放入游戏目录，游戏则会加载游戏目录下的LPK.DLL一旦被加载之后该DLL文件会负责加载clientTX.dll病毒DLL文件，如果注册表中找不到client.exe游戏键值则不衍生以上病毒DLL文件接着遍历进程查找avp.exe、KVMonXP.exe安全软件进程。

3、创建互斥体MutexName = "dmrtfvjdfcsdf"、防止病毒多次运行产生冲突，遍历进程查找avp.exe、KVMonXP.exe安全软件进程，如果找到存在任意一个进程，则衍生DLL病毒文件到%TEMP%临时目录下命名为qq.dll，调用rundll32.exe以InstallService为参数加载该动态链接库文件,如果找不到以上2个安全软件进程，则衍生随机病毒名的DLL文件161199000.dll到%TEMP%临时目录下，试图将病毒DLL文件注入到所有进程中，然后动态LOAD衍生的随机病毒DLL文件，调用病毒DLL模块wdon，设置消息钩子。

4、病毒DLL被加载之后判断自身是否在explorer.exe进程中，如果是则设置消息钩子，判断自身进程是否是client.exe、dp.exe，如果是则创建2个线程，通过读取游戏目录下的client.ini配置文件获取游戏的账号密码以URL方式将获取的账号密码发送到作者地址中。

行为分析-网络行为


  将窃取的账号密码发送到：http://13.suidasuis***.com:2288/liu/dey/flash.asp

注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Windir% 　　　　　 　　　　　 WINDODWS所在目录
%DriveLetter%　 　　　　　　　 逻辑驱动器根目录
%ProgramFiles%　 　 　　　　　 系统程序默认安装目录
%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
%Documents and Settings% 　　　 当前用户文档根目录
%Temp% 　　　　　　　　　　　　\Documents and Settings\当前用户\Local Settings\Temp
%System32% 　　　　　　　　　　 系统的 System32文件夹


--------------------------------------------------------------------------------

清除方案


  1、使用安天防线可彻底清除此病毒(推荐)，请点击下载(http://www.antiyfx.com)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
推荐使用ATool管理工具，请点击下载(http://www.antiy.com/cn/download/index.htm)。

（1）使用ATOOL管理工具，“进程管理”结束病毒110928078.dll模块。

（2）强行删除病毒文件
%TEMP%\161199000.dll
%TEMP%\qq.dll

删除游戏目录下的clientTX.dll、LPK.DLL