斗地主小游戏奥维  |  微點新聞  |  業界動態  |  安全資訊  |  安全快報  |  產品信息  |  網絡版首頁
通行證  |  客服中心  |  微點社區  |  微點郵局  |  常見問題  |  在線訂購  |  各地代理商
 

傳奇游戲盜號木馬Trojan.Win32.Generic.plx

傳奇游戲盜號木馬

Trojan.Win32.Generic.plx

捕獲時間

2011-10-07

危害等級



病毒癥狀

  該樣本是使用“C/VC ”編寫的“傳奇游戲盜號木馬,由微點主動防御軟件自動捕獲, 采用“UPX”加殼方式,企圖躲避特征碼掃描,加殼后長度為“24,948”字節,圖標為“”,使用“exe”擴展名,通過文件捆綁、網頁掛馬、下載器下載等方式進行傳播。病毒主要目的為盜取網絡游戲“傳奇世界”的“用戶名”、“密碼”等相關信息。
  用戶中毒后,會出現“傳奇世界” 游戲無故關閉、輸入用戶名、密碼、密保時游戲運行緩慢的現象,最終將導致虛擬財產被黑客盜取。

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

傳播途徑

文件捆綁、網頁掛馬、下載器下載

防范措施

已安裝使用微點主動防御軟件的用戶,無須任何設置,微點主動防御將自動?;つ南低趁饈芨貌《鏡娜肭趾推蘋?。無論您是否已經升級到最新版本,微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版,微點主動防御軟件在發現該病毒后將報警提示您發現“病毒”,請直接選擇刪除處理(如圖1)


圖1 微點主動防御軟件自動捕獲未知病毒(未升級)



如果您已經將微點主動防御軟件升級到最新版本,微點將報警提示您發現木馬"Trojan.Win32.Generic.plx”,請直接選擇刪除(如圖2)。


圖2   微點主動防御軟件升級后截獲已知病毒



未安裝微點主動防御軟件的手動解決辦法:

1.手動刪除文件

%temp%\kb004d172b.ind
%SystemRoot%\system32\dsound.dll.dat
%SystemRoot%\system32\DllCache\dsound.dll.MGVF(隨機名稱)
%SystemRoot%\system32\dsound.dll
%ProgramFiles%\Common Files\System\kb004d172b.ind(隨機名稱)
%SystemRoot%\system32\DllCache\dsound.dll

2.找一個正常的dsound.dll文件,替換系統目錄下的dsound.dll文件。
   
變量聲明:

  %SystemDriver%       系統所在分區,通常為“C:\”
  %SystemRoot%        WINDODWS所在目錄,通常為“C:\Windows”
  %Documents and Settings%  用戶文檔目錄,通常為“C:\Documents and Settings”
  %Temp%           臨時文件夾,通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
  %ProgramFiles%       系統程序默認安裝目錄,通常為:“C:\ProgramFiles”

病毒分析:

1.獲取當前進程,并將當前進程提權為"SeDebugPrivilege"權限級別。
2.遍歷進程,查找"woool.exe"和“woool.dat”進程,如果查找到該進程,就立即結束之。如果沒有查找到該進程,繼續操作。
3.獲取臨時文件目錄,并在該目錄下創建%temp%\kb004d172b.ind文件,打開注冊表,枚舉注冊表鍵值信息HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache,查找傳奇世界的游戲安裝路徑。
4.遍歷文件目錄,查找"C:\Program Files\Common Files\System"目錄,如果沒有該目錄,就創建該目錄,如果有,則將%temp%\kb004d172b.ind(隨機名稱)文件以拷貝的方式復制到該目錄下:"C:\Program Files\Common Files\System\ kb004d172b.ind(隨機名稱)",獲得該文件的屬性并設置該文件的屬性為系統隱藏。
5. 遍歷文件,查找系統目錄“sfc-os.dll”文件,破壞Windows文件?;?。
6.獲取系統目錄路徑,在該目錄下創建"C:\WINDOWS\system32\dsound.dll.dat"文件,遍歷文件查找"C:\WINDOWS\system32\DllCache\dsound.dll"文件,以移動的方式將文件該為"C:\WINDOWS\system32\DllCache\dsound.dll.MGVF",   以及將"C:\WINDOWS\system32\dsound.dll.dat"文件以拷貝的方式將文件復制為"C:\WINDOWS\system32\DllCache\dsound.dll",   將"C:\WINDOWS\system32\dsound.dll.dat"文件,以移動的方式將文件該為"C:\WINDOWS\system32\dsound.dll"。目的是替換了正常的系統目錄dsound.dll文件,將病毒文件偽裝成系統文件,如果游戲啟動以后會正常加載偽裝后的文件dsound.dll,然后創建消息鉤子,并獲取游戲的帳號和密碼信息發送到黑客指定網址。
7.獲取臨時文件目錄以及臨時文件的環境變量,并在該文件的目錄下創建%temp% \tempVidio.bat文件,然后以命令ShellExecuteA的形式執行該文件。目的是刪除病毒源以及批處理自身。

病毒創建文件:

%temp%\kb004d172b.ind
%SystemRoot%\system32\dsound.dll.dat
%temp% \tempVidio.bat

病毒拷貝文件:

%ProgramFiles%\Common Files\System\kb004d172b.ind(隨機名稱)
%SystemRoot%\system32\DllCache\dsound.dll

病毒移動文件:

%SystemRoot%\system32\DllCache\dsound.dll.MGVF(隨機名稱)
%SystemRoot%\system32\dsound.dll

免費試用
下  載
安裝演示