首 页  |  微点新闻  |  业界动态  |  安全资讯  |  安全快报  |  产品信息  |  网络版首页
通行证  |  客服中心  |  微点社区  |  微点邮局  |  常见问题  |  在线订购  |  各地代理商
 

“玛格尼亚”变种Trojan-PSW.Win32.Magania.rxk
来源:  2011-06-17 18:04:51



未安装微点主动防御软件的手动解决办法:

1.手动删除以下文件

%SystemRoot%\system32\cjvesk.dat
%SystemRoot%\system32\bvkiwp1.dat
%SystemRoot%\system32\bvkiwp2.dat
%SystemRoot%\system32\bvkiwp3.dat
%SystemRoot%\system32\bvkiwp4.dat
%SystemRoot%\system32\bvkiwp5.dat
%ProgramFiles%\hgreag\elijnixxb.dll(名称随机)

变量声明:

%SystemDriver%       系统所在分区,通常为“C:\”
%SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
%Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析:

(1),创建进程快照,遍历查找进程"360tray.exe"、"ravmond.exe"、"qqpctray.exe"进程,若找到则分别标志。
(2),判断是否存在%SystemRoot%\system32\cjvesk.dat,如果有则退出程序,用该文件来标示本机是否运行过病毒。
(3),在系统目录下分别创建文件" bvkiwp1.dat "、" bvkiwp 2.dat"、" bvkiwp 3.dat"、" bvkiwp 4.dat"、" bvkiwp 5.dat",将配置信息分别写入到所创建的五个文件中,并设置为隐藏属性。
(4),创建目录"%ProgramFiles%\hgreag\",并在此目录下创建elijnixxb.dll(名称随机),释放病毒代码到此文件中。
(5),通过调用LSP系统函数WSCEnumProtocols、WSCInstallProvider、WSCWriteProviderOrder安装xvzgnwowz.dll到系统网络协议链中,更新所有服务提供者的安装顺序,把自定义的服务提供者排在所有协议的最前列,此时所有基于winsock实现的程序都会加载xvzgnwowz.dll。
(6),如果发现系统进和中存在安全软件进程,则直接退出程序,否则删除自身后退出程序。
(7),通过WSP系列WSPSend()函数等截取用户游戏账号密码等网络数据发送至黑客指定地址。

病毒创建文件:

%SystemRoot%\system32\cjvesk.dat
%SystemRoot%\system32\bvkiwp1.dat
%SystemRoot%\system32\bvkiwp2.dat
%SystemRoot%\system32\bvkiwp3.dat
%SystemRoot%\system32\bvkiwp4.dat
%SystemRoot%\system32\bvkiwp5.dat
%ProgramFiles%\hgreag\elijnixxb.dll(名称随机)

病毒访问网络:

www.sz***.com:54325/anquan

免费体验
下  载
安装演示