找回密码
 注册创意安天

Trojan/Win32.Stuxnet.e[Dropper]分析

[复制链接]
发表于 2010-11-8 14:33 | 显示全部楼层 |阅读模式
一、 病毒标签:
病毒名称: Trojan/Win32.Stuxnet.e[Dropper]
病毒类型: 盗号木马
文件 MD5: 1B084F7228051B3FE95ABA72D7E39C6D
公开范围: 完全公开
危害等级: 4
文件长度: 517,632 字节
感染系统: Windows98以上版本
开发工具: Microsoft Visual C++ 6.0

二、 病毒描述:
该恶意代码文件为一款工业间谍木马,该恶意代码利用多个系统安全漏洞传播自身MS08067、可移动磁盘、打印机共享等漏洞进行传播,获取西门子WinCC操作系统的访问权,并读取数据库相关信息,试图通过SA权限连接WINCC数据库从而窃取信息,主要窃取储存在Simatic WinCC SCADA系统中的数据,病毒试图搜索可移动磁盘,发现后创建LNK文件到可移动磁盘内并利用U盘传播自身,病毒运行后获取版本信息,创建内存映射、动态调用大量API函数,衍生多个病毒文件到系统目录下,衍生的病毒驱动文件采用了伪造数字签名和版本信息的技术手段,使其很难辨认为病毒文件。病毒试图搜索可移动磁盘,发现后创建LNK文件到可移动磁盘内并利用U盘传播自身,病毒将窃取的敏感数据信息以URL方式发送到病毒作者的地址中。

三、 行为分析:
本地行为:
1、病毒衍生以下病毒文件到系统目录
c:\WINDOWS\system32\drivers\mrxcls.sys
c:\WINDOWS\system32\drivers\mrxnet.sys
c:\WINDOWS\inf\oem7A.PNF
c:\WINDOWS\inf\mdmeric3.PNF
c:\WINDOWS\inf\mdmcpq3.PNF
c:\WINDOWS\inf\oem6C.PNF

2、利用了ZwCreateSection创建节通过内存映射把代码映射到创建的节表中,然后通过LoadliraryW获取基址,去除NTDLL.DLL模块中4096字节PE文件头的保护,并修改偏移40处的代码为HOOK了NTDLL.DLL模块的6个函数调用,分别为:
ZwMapViewOfSection 1、ZwCreateSection 2、ZwOpenFile 3、ZwClose 4、ZwQueryAttributesFile 5、ZwQuerySection
试图访问西门子Windows SIMATIC WinCC SCADA系统数据库,开启lsass.exe进程,试图将病毒代码注入到该进程中,病毒试图搜索可移动磁盘,发现后创建LNK文件到可移动磁盘内并利用U盘传播自身,该恶意代码还利用多个系统安全漏洞传播自身MS08067、打印机共享等漏洞传播。

3、添加注册表病毒服务项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Description
值: 字符串: "MRXCLS"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\DisplayName
值: 字符串: "MRXCLS"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\ImagePath
值: 字符串: "\??\C:\WINDOWS\system32\Drivers\mrxcls.sys"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Start
值: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Type
值: DWORD: 1 (0x1)


四、 清除方案:
1、使用安天防线可彻底清除此病毒(推荐)。
请到安天网站下载:http://www.antiy.com
2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。
(1)使用ATOOL管理工具,“进程管理“结束病毒进程
(2)强行删除病毒文件
c:\WINDOWS\system32\drivers\mrxcls.sys
c:\WINDOWS\system32\drivers\mrxnet.sys
c:\WINDOWS\inf\oem7A.PNF
c:\WINDOWS\inf\mdmeric3.PNF
c:\WINDOWS\inf\mdmcpq3.PNF
c:\WINDOWS\inf\oem6C.PNF
(3)删除添加的注册表项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls
删除ControlSet001键下的MRxCls键
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls
删除CurrentControlSet键下的MRxCls键
您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

Archiver|手机版|小黑屋|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-12-13 03:51

Powered by Discuz! X3.5

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表