找回密码
 注册创意安天

Trojan/Win32.OnLineGames. bhsj[Stealer]分析

[复制链接]
发表于 2010-12-8 10:36 | 显示全部楼层 |阅读模式
一、 病毒标签:
病毒名称: Trojan/Win32.OnLineGames.bhsj[Stealer]
病毒类型: 盗号木马
文件 MD5: FF15AA97CBC8AC53D0679EB5D7B685FE
公开范围: 完全公开
危害等级: 3
文件长度: 30,208 字节
感染系统: Windows98以上版本
开发工具: Microsoft Visual C++ 6.0
加壳类型: UPX

二、 病毒描述:
    该恶意代码文件为多款网络游戏盗号木马,它可以针对不同的游戏使用不同的手段进行窃取游戏的账号密码,该病毒会创建修改系统的imm32.dll文件,用于加载病毒衍生的DLL文件,这样做的目的是不需要添加注册表启动项,从而可以躲避部分安全软件对其主动防御拦截,病毒会在%Windir%目录下创建一个sysdf17.log该文件记录游戏账号信息,病毒窃取到游戏账号密码后以POST方式回传到作者指定的地址中。

三、 行为分析:
本地行为:
1、文件运行后会释放以下文件
%System32%\ole.dll           

EXE外壳分析:病毒运行后对进程进行提权操作,遍历进程茶渣AYServiceNT.aye进程,如果找到该进程后则调用OpenThread获得该进程线程句柄,然后调用SuspendThread挂机该进程的线程,查找类名和标题为"AHNTASK_SESSION"的窗口,找到之后试图停掉wscsvc服务(这个服务是系统的安全中心),查找并加载名为81类型为IDR_DLL的资源,获取%System32%目录下的ole.dll文件属性,如文件不存在则创建,否则将文件重命名一份在创建新的,释放批处理删除自身文件。

1、调用"taskkill /F /IM NVCAgent.npc"命令强行结束NVCAgent.npc进程,并试图尝试打开并停止Nsavsvc服务。

2、将%System32%目录下的imm32.dll命名为imm32.dll.log,动态加载sfc_os.dll并调用#5号函数解除对imm32.dll的保护,然后把imm32.dll文件拷贝到临时目录下对其进行修改,遍历文件的节表判断是否存在.racpv节,添加的恶意代码的作用是负责加载病毒创建的ole.dll文件。

ole.dll病毒DLL文件分析:
1、判断自身是否被注入到:mupdate2.exe、autoup.exe、v3lsvc.exe、ayupdate.aye如果是被注入到这些进程中病毒则会退出。

2、判断自身如果被注入到v3ltray.exe进程中,则会在该进程偏移0x1C00处查找并匹配8B55F48B82B400003800BDFFB67517E1305A96A81800508090909090特征码,匹配成功后将该节的属性修改为可读可写,并将该特征码的首2个字节修改为9090。

3、判断自身如果被注入到pmclient.exe进程中则会HOOK NTDLL.DLL中的RtlAllocateHeap函数调用,使其调用RtlAllocateHeap函数跳到病毒代码区执行恶意代码,并遍历该进程中的Baduki.dll模块句柄,匹配改模块中偏移0x40B00处的C744243C07000000特征码,匹配成功后退出。

4、判断自身如果被注入到aion.bin进程中则会遍历查找game.dll模块,获取该模块基址匹配模块偏移0x35DF00处的8BC88A8684030000
特征码,匹配成功后修改模块内存地址数据。

5、还会判断自身是否被注入到:ff2client.exe、client.exe、dragonnest.exe进程中同样会遍历各个游戏的模块修改HOOK游戏进程数据,解密回传参数地址等信息。

网络行为:
病毒获取游戏账号密码后以POST方式根据不同的游戏以下参数回传到病毒作者地址中
u=%s+p=%s+p2=%s+s=%s+a=%s+r=%s+g=%d+m=%d+mb=%s+ver=%s_%d
u=%s+p=%s+s=ms_ie+mb=%s+ver=%s_%d
u=%s+p=%s+a=hangame+ver=%s_%d
u=%s+p=%s+a=pmang+m=%s+p2=%s+ver=%s_%d
u=%s+p=%s+a=netm+ver=%s_%d
a=han_lin+u=%s+p=%s+s=%s+ver=%s_%d
a=%s+u=%s+p=%s+s=%s+r=%s+g=%d+ver=%s_%d
u=%s+p=%s+p2=%s+ver=%s_%d
u=%s+p=%s+p2=%s+s=%s+ver=%s_%d
u=%s+p=%s+ver=%s_%d
u=%s+p=%s+p2=%s+ver=%s_%d
u=%s+p=%s+a=pmang+s=fifa+r=%s+ver=%s_%d
u=%s+p=%s+a=aion+r=%s+ver=%s_%d
u=%s+kp=%s+ver=%s_%d

注:    %System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
        %Windir%              WINDODWS所在目录
    %DriveLetter%           逻辑驱动器根目录
    %ProgramFiles%          系统程序默认安装目录
    %HomeDrive%          当前启动的系统的所在分区
    %Documents and Settings%   当前用户文档根目录
    %Temp%             \Documents and Settings
                        \当前用户\Local Settings\Temp
    %System32%           系统的 System32文件夹
    
    Windows2000/NT中默认的安装路径是C:\Winnt\System32
    windows95/98/me中默认的安装路径是C:\Windows\System
    windowsXP中默认的安装路径是C:\Windows\System32   


四、 清除方案:
         1、使用安天防线可彻底清除此病毒(推荐)。
             请到安天网站下载:http://www.antiy.com
             2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。
        (1) 使用ATOOL“进程管理”关闭游戏进。
        (2) 强行删除病毒文件
              %System32%\ole.dll
                     %System32%\imm32.dll
            (3) 将%System32%目录下的imm32.dll.log命名为imm32.dll
您需要登录后才可以回帖 登录 | 注册创意安天

本版积分规则

Archiver|手机版|小黑屋|创意安天 ( 京ICP备09068574,ICP证100468号。 )

GMT+8, 2024-12-13 04:18

Powered by Discuz! X3.5

© 2001-2024 Discuz! Team.

快速回复 返回顶部 返回列表