斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

夢幻西游盜號木馬Trojan-PSW.Win32.OnLineGames.elrb

夢幻西游盜號木馬

Trojan-PSW.Win32.OnLineGames.elrb

捕獲時間

2010-10-10

危害等級



病毒癥狀

  該樣本是使用“C/C ”編寫的后門程序,由微點主動防御軟件自動捕獲,采用“PECompact”加殼方式試圖躲避特征碼掃描,加殼后長度為“35,216”字節,圖標為“”,病毒擴展名為“exe”,主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播,病毒主要目的是盜取用戶夢幻西游的賬號和密碼。
  用戶中毒后,會出現游戲無故退出,系統文件損壞,游戲資料丟失等現象。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“可疑程序”,請直接選擇刪除處理(如圖1)

 

圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan-PSW.Win32.OnLineGames.elrb”,請直接選擇刪除(如圖2)。

 

圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.手動刪除以下文件:
  %ProgramFiles%\Common Files\System\kb888202.bwb
   X\Mfc42.sve(X為游戲安裝路徑)
2.將%SystemRoot%\system32\dsound.dll.ZYXF(隨機命名)改名為%SystemRoot%\system32\dsound.dll
3.將%SystemRoot%\system32\dllcache\dsound.dll.ZYXF(隨機命名)改名為%SystemRoot%\system32\dllcache\dsound.dll

變量聲明:

%SystemDriver%       系統所在分區,通常為“C:\”
%SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
%Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
%Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析

(1)病毒提升自身權限,獲取進程快照,查找是否存在夢幻西游主進程“my.exe”,若存在則結束my.exe進程
(2)獲取臨時路徑,讀取自身資源,創建文件%Temp%\kb888202.gon(隨機命名)
(3)讀取注冊表相應路徑,查找夢幻西游安裝路徑。對應注冊表項為:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\夢幻西游_is1
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
(4)若發現,則將%Temp%\kb888202.gon復制為X\Mfc42.sve(X為游戲安裝路徑),完成后將其屬性設置為歸檔隱藏。
(5)若未發現安裝目錄,則將%Temp%\kb888202.gon復制為%ProgramFiles%\Common Files\System\kb888202.bwb,并將其屬性設置為歸檔隱藏作為備份。
(6)獲取系統路徑,查找3D聲效鏈接庫文件dsound.dll,將其改名為dsound.dll.dat。完成后讀取%Temp%\kb888202.gon中資源,以添加區段改變入口點的方法感染該文件。
(7)調用sfc_os.dll的#5函數解除對系統文件的?;?。
(8)成功后將正常系統文件%SystemRoot%\system32\dsound.dll改名為%SystemRoot%\system32\dsound.dll.ZYXF(隨機命名)
(9)將正常系統文件%SystemRoot%\system32\dllcache\dsound.dll改名為%SystemRoot%\system32\dllcache\dsound.dll.ZYXF
(10)將已被感染的%SystemRoot%\system32\dsound.dll.dat復制為%SystemRoot%\system32\dllcache\dsound.dll。完成后再將其改名為%SystemRoot%\system32\dllcache\dsound.dll
(11)刪除%Temp%\kb888202.gon,并創建批處理文件%Temp%\tempVidio.bat,該批處理刪除病毒源文件和批處理自身。
(12)游戲運行后會自動加載3D音效鏈接庫%SystemRoot%\system32\dsound.dll,該動態鏈接庫已被病毒感染。
(13)被感染的動態鏈接庫加載后,首先會運行被病毒加入的區段代碼,盜取用戶網絡游戲信息,并傳送至黑客指定網址。

病毒創建文件:

%Temp%\kb888202.gon(隨機命名)
%ProgramFiles%\Common Files\System\kb888202.bwb
X\Mfc42.sve(X為游戲安裝路徑)
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\dsound.dll.ZYXF(隨機命名)
%SystemRoot%\system32\dllcache\dsound.dll.ZYXF
%Temp%\tempVidio.bat

病毒感染文件:

%SystemRoot%\system32\dsound.dll
%SystemRoot%\system32\dllcache\dsound.dll

病毒刪除文件:

%Temp%\kb888202.gon
%Temp%\tempVidio.bat

免費試用
下  載
安裝演示