木马程序

Trojan-PSW. Win32.WOW.qzy

捕获时间

2011-07-12

危害等级

中

病毒症状

  该样本是使用“vc ”编写的木马程序，由微点主动防御软件自动捕获，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为长度为“36,240” 字节，图标为,病毒

扩展名为“.exe”，病毒主要通过“文件捆绑”、“下载器下载”，“网页挂马”等方式传播，病毒目的窃取用户计算机中信息，用户中毒后出现系统运行缓慢，出现未知进程。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。

如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知间谍软件”，请直接选择删除处理（如图1）

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Trojan-PSW. Win32.WOW.qzy”，请直接选择删除（如图2）。

图2   微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：
1.手动删除以下文件%system32%\dbr0001.ocx
%system32%\New.dll
%system32%\1001.ocx
%system32%\dbr0002.ocx
%system32%\gbvgbv01.exe  
%TEMP%\mhxy01.bat  
       
%system32%\comres.dll
%system32%\ddraw.dll
%system32%\dsound.dll
%system32%\olepro32.dll
%system32%\ksuser.dll
       
2.修复系统文件
%system32%\comres.dll
%system32%\ddraw.dll
%system32%\dsound.dll
%system32%\olepro32.dll
%system32%\ksuser.dll
       
3.删除注册表
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\CONTROL\KEYBOARD LAYOUTS\E0200804\IME
键值: FILE 数据: DBR0002.OCX
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\CONTROL\KEYBOARD LAYOUTS\E0200804\LAYOUT
键值: FILE 数据: kbdus.dll

变量声明：

%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

病毒分析：
       
1. 创建进程快照遍历是否有和自己同名的进程,有则结束进程。
2. 释放 %system32%\dbr0001.ocx(dll)并隐藏。
3. 释放恶意代码到%system32%\dsound.dll,%system32%\ddraw.dll,%system32%\comres.dll,%system32%\ksuser.dll,
%system32%\olepro32.dll, 实现对大多数游运行时需要的dll感染。
4. 创建进程快照，遍历查找进程"explorer.exe",如果找到则在此进程中创建远程线程，分配远程进程中的内存空间并插入病毒自身代码。
5. 释放%system32%\dbr0002.ocx(输入法dll)。
6. 复制文件%system32%Rundll32.exe为%system32%gvbgvb01.exe。
7. 安装%system32%\dbr0002.ocx为IME,激活此IME并将它作为系统默认输入语言。安装键盘钩子,记录键盘输入并存入%system32%\1001.ocx 。
8. 释放%temp%\mhxy01.bat脚本文件(用于病毒主模块退出后删除病毒文件和自身)并运行。
9.病毒运行后向黑客发送计算机中的大量信息，导致用户个人隐私及重要信息泄露。

病毒创建文件：       

%system32%\dbr0001.ocx
%system32%\New.dll
%system32%\1001.ocx
%system32%\dbr0002.ocx
%system32%\gbvgbv01.exe  
%TEMP%\mhxy01.bat  

病毒感染系统文件：
       
%system32%\comres.dll
%system32%\ddraw.dll
%system32%\dsound.dll
%system32%\olepro32.dll
%system32%\ksuser.dll

病毒创建注册表：

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\CONTROL\KEYBOARD LAYOUTS\E0200804\IME
键值: FILE 数据: DBR0002.OCX
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\CONTROL\KEYBOARD LAYOUTS\E0200804\LAYOUT
键值: FILE 数据: kbdus.dll

病毒删除文件：       

病毒文件自身
%TEMP%\mhxy01.bat
%system32%\New.dll