首 页  |  微点新闻  |  业界动态  |  安全资讯  |  安全快报  |  产品信息  |  网络版首页
通行证  |  客服中心  |  微点社区  |  微点邮局  |  常见问题  |  在线订购  |  各地代理商
 

魔兽世界盗号木马Trojan-PSW.Win32.OnLineGames.esfr
来源:  2012-08-14 15:14:05

魔兽世界、地下城与勇士等游戏盗号木马

Trojan-PSW.Win32.OnLineGames.eshr

捕获时间

2012-08-14

危害等级



病毒症状

    该样本是使用“C\C ”编写的盗号木马,由微点主动防御软件自动捕获,采用“UPX”加壳,企图避过杀软扫描,加壳后长度为“39,936”字节,图标为“
”,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是盗取用户的密码和帐号等信息。当用户计算机感染此木马病毒后, 会出现“魔兽世界、地下城与勇士”等游戏无故关闭、输入用户名、密码、密保时游戏运行缓慢的现象,最终将导致虚拟财产被恶意盗取,并且发现未知进程等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载

防范措施

已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理(如图1)



图1 微点主动防御软件自动捕获未知病毒(未升级)




如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现木马"Trojan-PSW.Win32.OnLineGames.esfr”,请直接选择删除(如图2)



图2   微点主动防御软件升级后截获已知病毒



未安装微点主动防御软件的手动解决办法:
1.手动停止并删除服务
        "xMOZ3GH.sys"

2.手动删除文件
"C:\WINDOWSxMOZ3GH.sys(字符串xMOZ3GH随机)"
"%SystemRoot%\system32\WinSocketA.dll"
"%Temp%\3K6Rk6GD.pif(文件名随机)"
"%SystemRoot%\system32\winxp.ini"

3.手动删除键值项
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs"

变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”
  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

病毒分析:
1.创建名字为"LJKIJIJIijilsdfe"的互斥对象,防止重复运行。
2.创建文件"C:\WINDOWSxMOZ3GH.sys(字符串xMOZ3GH随机)",写入病毒数据。
3.打开服务控制管理器,创建名字"xMOZ3GH.sys"的服务,执行映像指向"C:\WINDOWSxMOZ3GH.sys",之后启动此服务。
4.创建进程快照,查找并结束进程"Nsavsvc.npc"、"ALYac.aye"、
"SystemMon.exe"、"SkyMon.exe"、"nsvmon.npc"、"nvc.npc"、
"nvcagent.npc"、"pcotp.exe"、"AYServiceNT.aye"、
"AYAgent.aye"、"v3lsvc.exe"、"sgsvc.exe"、"NSVMON.NPC"、"NaverAgent.exe"。
5.获取系统目录,创建文件"C:\WINDOWS\system32\WinSocketA.dll",写入病毒数据。
6.枚举当前可用的网络协议信息,并将"C:\WINDOWS\system32\WinSocketA.dll"作为传输提供者安装到当前系统。
7.设置键值项"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs" = "C:\WINDOWS\system32\WinSocketA.dll",将病毒随系统启动注入到所有进程地址空间。
8.删除文件"C:\WINDOWSxMOZ3GH.sys"。执行命令"C:\WINDOWS\system32\cmd.exe /c del "病毒主程序"",将病毒文件自身删除。
9. "C:\WINDOWS\system32\WinSocketA.dll"加载之后,获取当前进程信息:
(1)如果当前进程是以下进程,则开辟新线程,读取游戏配置文件,盗取用户信息并发送到指定的地址。
"dnf.exe"、"MpapleStory.exe"、"lin.bin"、"ff2client.exe"、"heroes.exe"、"ExLauncher.exe"、 "TERA.exe"、"OTP.exe"、"AION.bin"
"wow.exe"、"fairyclient.exe"、"dkonline.exe"、"Diablo III.exe"、"AYAgent.aye"。
(2)如果是进程"explorer.exe"则读取网络文件"http://z71.88****fadafd.com/css/mz699.txt"
中网址"http://mexe.6**ww.com/css/m76.exe",下载为本地文件"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\3K6Rk6GD.pif(文件名随机)"并已隐藏的方式执行,并创建文件"C:\WINDOWS\system32\winxp.ini"并写入记录信息。
(3)如果是"AYUpdSrv.aye"、"AYServiceNT.aye"、"AYRTSrv.aye"、
"SystemMon.exe"、"SkyMon.exe"、"nsvmon.npc"、"nvc.npc"、"nvcagent.npc"、"Nsavsvc.npc"、 "V3LTray.exe"、"V3LSvc.exe"、"V3Light.exe"、"SgSvc.exe"、"sgrun.exe"、 "InjectWinSockServiceV3.exe"、"alyac" 则退出当前进程。

病毒创建文件:
"C:\WINDOWSxMOZ3GH.sys(字符串xMOZ3GH随机)"
"%SystemRoot%\system32\WinSocketA.dll"
"%Temp%\3K6Rk6GD.pif(文件名随机)"
"%SystemRoot%\system32\winxp.ini"

病毒删除文件:
"C:\WINDOWSxMOZ3GH.sys"
病毒文件自身

病毒修改注册表
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs"

病毒访问网络
"http://z71.889****adafd.com/css/mz699.txt"
"http://mexe.6**ww.com/css/m76.exe"
"http://z71.8u8**cww.com/mox2/post.asp"
"http://m71.88****afadafd.com/df/post.asp"
"http://z71.8u8**cww.com/mxdotp/post.asp"
"http://m71.889****fadafd.com/mxd/post.asp"
"http://m71.889****fadafd.com/ty/post.asp"
"http://m71.889****fadafd.com/fifa/post.asp"
"http://m71.889****fadafd.com/pm/post.asp"
"http://m71.889****fadafd.com/nm/post.asp"
"http://m71.889****fadafd.com/hg/post.asp"
"http://m71.889****fadafd.com/lq/post.asp"
"http://m71.889****fadafd.com/tera/post.asp"
"http://m71.889****fadafd.com/pm2/post.asp"
"http://z71.8u8**cww.com/666woyh/post.asp"
"http://z71.8u8**cww.com/666wowow/post.asp"
"http://m71.889****fadafd.com/dk/post.asp"
"http://z71.8u8**cww.com/666lq/post.asp"
"http://z71.8u8**cww.com/mox4/post.asp"
"http://m71.889****fadafd.com/diablo/post.asp"

相关主题:
没有相关主题

免费体验
下  载
安装演示