捕获时间
2009-1-9
病毒摘要
该样本是使用“VC”编写的盗号木马，由微点主动防御软件自动捕获，采用“UPX”加壳方式，企图躲过特征码扫描，长度为“26,754 字节”，图标为“
”，病毒扩展名为“exe”，主要通过“网页挂马”、“文件捆绑”、“诱骗用户点击”等方式传播，病毒主要目的为盗取网络游戏QQ华夏的帐号和密码。
感染对象
Windows 2000/Windows XP/Windows 2003
传播途径
网页木马、文件捆绑、诱骗用户点击
防范措施
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；
图1 微点主动防御软件自动捕获未知病毒（未升级）
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-PSW.Win32.Magania.fyi”，请直接选择删除（如图2）。
图2 微点主动防御软件升级后截获已知病毒
对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。
病毒分析
该样本程序被执行后，释放驱动文件“b1a18a3e.sys ”至系统目录“%SystemRoot%\system32\”下，修改注册表，将“b1a18a3e.sys ”注册为服务，随后加载，相关注册表项如下：
| |
键：“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\b1a18a3e”
值：“Type”
数据：“SERVICE KERNEL DRIVER”
键：“Start”
数据：“SERVICE DEMAND START”
键：“ImagePath”
数据：“\??\C:\WINDOWS\system32\b1a18a3e.sys”
键：“DisplayName”
数据：“b1a18a3e” |
|
“b1a18a3e.sys”作用为恢复系统SSDT表，使部分安全软件主动防御功能失效。
删除系统目录“%SystemRoot%\system32\”下的“verclsid.exe”文件。在系统目录“%SystemRoot%\system32\”下生成动态库文件“2EF0D734.dll”， “2EF0D734.dll”加载后将安装全局消息钩子，尝试注入全部进程；在系统目录“%Temp%”生成注册表配置单元文件“liv1.tmp”，并尝试利用注册表配置单元文件修改注册表，使进程“explorer.exe”以及由其启动的进程启动后自动加载“2EF0D734.dll”，相关注册表如下：
| |
键：“HKEY_CLASSES_ROOT\CLSID\{9184057B-D51B-4C2A-B779-EB4F548E9FDA}\InProcServer32”
值：“@”
数据：“2EF0D734.dll”
键：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks”
值：“{9184057B-D51B-4C2A-B779-EB4F548E9FDA}”
数据：“空” |
|
生成配置文件“D7C79813.cfg”至系统目录“%SystemRoot%\system32\”，内容如下：
| |
| 4BA3C163CD1EFD4C14E3A415FA0A30102D0000002D00000014E08224C006E54812E7A40CF505371752FB8433D57E93337BE6C0738112615212FA8F65CC06A6124DFAF251BD14E08224C006E54812E7A40CF505371752FB8433D57E93337BE6C0738112615212FA8F65CC06A6124DFAF251BD |
|
完成后利用命令行实现自删除，命令行如下：
| |
| "C:\WINDOWS\system32\cmd.exe" /c del C:\Sample.exe >> NUL |
|
“2EF0D734.dll”加载后，将查找QQ华夏游戏进程，发现后将尝试关闭游戏，企图迫使用户再次登陆，利用监控用户鼠标、键盘消息，内存读取、抓取网络封包等方式，获取用户游戏用户名、密码、密保等相关信息，采用网页收信方式，按照格式“re=%s&s=%s&A=%s&P=%s&MB=%s&wwwww=v&H=%s&PIN=%s&R=%s&RG=%d&M=%d&M1=%d&mac=%s&RG1=%d&Z=%s:%s”，发送至病毒种植者指定页面。
