网游飓风

Trojan.Win32.Buzus.a

捕获时间

2010-5-3

危害等级

高

病毒症状

   该样本是使用“Delphi”编写的木马下载器，由微点主动防御软件自动捕获。采用“FSG”加壳方式，加壳后长度为“53,981”字节，图标为“
”，病毒扩展名为“exe”，主要通过“网页挂马”、“文件捆绑”、“下载器下载”、“移动存储介质”等方式传播。病毒主要目的是下载安装病毒木马，盗取游戏帐号密码。
   用户中毒后，会出现出现网络异常连接，安全软件无故退出，系统无故报错死机，发现大量未知进程、游戏帐户密码被盗(如魔兽世界，QQ)等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

移动存储介质、网页木马、文件捆绑、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马“，请直接选择删除处理（如图1）；

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Trojan.Win32.Buzus.a”，请直接选择删除（如图2）。

图2   微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1.手动删除以下文件：

%Program Files%\Common Files\SafeDrv.exe
%Documents and Settings%\Administrator\dumww.drv         (文件名随机)
%Documents and Settings%\Administrator\mxico.drv
X:\aurorun.inf        (X为被感染盘符)
X:\SafeDrv.exe

2.手动删除以下注册表：
   
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
数据：C:\Program Files\Common Files\SafeDrv.exe
值：C:\Program Files\Common Files\SafeDrv.exe:*:Enabled:@xpsp2res.dll,-22019
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
数据：SafeDrv
值：C:\Program Files\Common Files\SafeDrv.exe
删除注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下的安全软件劫持项。

变量声明：

　%SystemDriver%　　　　　　  系统所在分区，通常为“C:\”
　%SystemRoot%　　　　　　　  WINDODWS所在目录，通常为“C:\Windows”
　%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
　%Temp%　　　　　　　　　　  临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

病毒分析：

1.比较自身是否为SafeDrv.exe，如果不是则释放病毒文件%Program Files%\Common Files\SafeDrv.exe。释放病毒文件%Documents and Settings%\Administrator\mxico.drv(文件名随机)并利用rundll32.exe加载运行。创建驱动文件%temp%\~wkweht.txt将其作为服务启动，恢复SSDT完成后删除驱动文件以自身。

2.释放病毒文件%Documents and Settings%\Administrator\dumww.drv并利用rundll32.exe加载，创建注册表项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
数据：C:\Program Files\Common Files\SafeDrv.exe
值：C:\Program Files\Common Files\SafeDrv.exe:*:Enabled:@xpsp2res.dll,-22019
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
数据：SafeDrv
值：C:\Program Files\Common Files\SafeDrv.exe

3.打开svchost.exe进程将自身代码写入该进程实现注入系统进程运行运。在注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
下建立大量安全相关软件的映像劫持使杀软无法启动。

4.遍历本地磁盘并在磁盘根目录释放autorun.inf将病毒文件复制根目录SafeDrv.exe。使用户双击磁盘盘符时启动病毒文件以及通过U盘感染其他计算机。

5.从指定网址下载大量病毒木马到%ProgramFiles%目录下运行，主要盗取网络游戏帐户密码信息如：魔兽世界，QQ，地下城与勇士(DNF),剑侠世界，天龙八部，问道等主游戏游戏。可能破坏系统文件，以及游戏客户端文件。

病毒创建文件：

%Program Files%\Common Files\SafeDrv.exe
%Documents and Settings%\Administrator\dumww.drv         (文件名随机)
%Documents and Settings%\Administrator\mxico.drv
X:\aurorun.inf    (X为被感染盘符)
X:\SafeDrv.exe

病毒创建注册表：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
数据：C:\Program Files\Common Files\SafeDrv.exe
值：C:\Program Files\Common Files\SafeDrv.exe:*:Enabled:@xpsp2res.dll,-22019
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
数据：SafeDrv
值：C:\Program Files\Common Files\SafeDrv.exe

病毒访问网络：

http://x.2012***n.com:82/wow.exe
http://x.2012***n.com:82/tl.exe
http://x.2012***n.com:82/wd.exe
http://x.2012***n.com:82/jx3.exe
http://x.2012***n.com:82/dh2.exe
http://x.2012***n.com:82/mz.exe
http://x.2012***n.com:82/wm.exe
http://x.2012***n.com:82/qqhx.exe
http://x.2012***n.com:82/cq.exe
http://x.2012***n.com:82/cs.exe
http://x.2012***n.com:82/lszt.exe
http://x.2012***n.com:82/jx.exe
http://x.2012***n.com:82/qqsg.exe
http://x.2012***n.com:82/sgcq.exe
http://x.2012***n.com:82/zx2.exe
http://x.2012***n.com:82/jx3.exe
http://x.2012***n.com:82/zt.exe
http://x.2012***n.com:82/dnf.exe
http://x.2012***n.com:82/qq.exe
http://x.2012***n.com:82/fhie.exe