Trojan-PSW.Win32.OnLineGames.aocg

Trojan-PSW.Win32.OnLineGames.aocg,該病毒下載者木馬類,病毒運行後調用API獲取系統資料夾路徑,在%System32%目錄下創建病毒檔案ajfcaa.exe(6位隨機病毒名),並載入創建該病毒進程,遍歷進程查找是否存在以下進程名:GuardField.exe、conime.exe、wuauclt.exe、spoolsv.exe。

基本介紹

  • 外文名:Trojan-PSW.Win32.OnLineGames.aocg
  • 病毒類型:盜號木馬
  • 公開範圍:完全公開
  • 危害等級:4
病毒標籤,病毒描述,行為分析,

病毒標籤

病毒名稱: Trojan-PSW.Win32.OnLineGames.aocg
檔案 MD5: 1754E55800F753F51F69F7F21183D5AB
檔案長度: 25,728 位元組
感染系統: Windows98以上版本
開發工具: Microsoft Visual C++ 6.0
加殼類型: WinUpack 0.39 final -> By Dwing

病毒描述

如發現存在以上進程名則調用TerminateProcess函式強行結束以上進程,調用LoadLibraryA函式載入SFC.DLL檔案。將%System32%\drivers\目錄下的beep.sys檔案刪除,並創建一個同名的檔案,創建dat檔案到臨時目錄,創建註冊表病毒服務,等待載入完畢後將dat檔案刪除,添加註冊表映像劫持,劫持多款安全軟體,使系統安全性降低,利用ZwQuerySystemInformation()枚舉核心模組,遍歷進程查找:DrvAnti.exe(驅動防火牆)、csrss.exe(系統進程),如找到則強行結束上2個進程,病毒運行後自我刪除,連線網路讀取列表下載大量惡意檔案到本地運行,經分析下載的檔案多為盜號木馬,給用戶清理帶來極大的不便!

行為分析

本地行為:
1、檔案運行後會釋放以下檔案:
%System32%\ajfcaa.exe  13,028 位元組
2、創建註冊表病毒服務:
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001
\Enum\Root\LEGACY_GDABR\0000\Service]
註冊表值: "gdabr"
類型: REG_SZ
值:"Gdabr"
描述: 服務描述
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Gdabr\Description]
註冊表值: "DisplayName"
類型: REG_SZ
值:"Gdabr"
描述: 服務描述
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Gdabr\DisplayName]
註冊表值: "DisplayName"
類型: REG_SZ
值:" Gdabr"
描述: 服務名稱
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Gdabr\ErrorControl]
註冊表值: "ErrorControl"
類型: REG_SZ
值:"DWORD: 1 (0x1)"
描述: 服務控制
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Gdabr\ImagePath]
註冊表值: "ImagePath"
類型: REG_SZ
值:"\??\ C:\DOCUME~1\a\LOCALS~1\Temp\ _temp.dat"
描述: 服務映像檔案的啟動路徑
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Gdabr\Start]
註冊表值: "Start"
類型: REG_SZ
值:"DWORD: 3 (0x3)"
描述: 服務的啟動方式,手動
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Services\Gdabr\Type]
註冊表值: "Type"
類型: REG_SZ
值:"DWORD: 1 (0x1)"
描述: 服務類型
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows NT\CurrentVersion
\Image File Execution Options\被映像劫持的檔案名稱稱]
新建鍵值: "Debugger"
類型: REG_SZ
字元串: “ntsd -d”
劫持檔案名稱列表:
360rpt.exe、360safebox.exe、360tray.exe、adam.exe、
AgentSvr.exe、AppSvc32.exe、ati2evxx.exe、autoruns.exe、
avconsol.exe、avgrssvc.exe、AvMonitor.exe、avp.com、
avp.exe、CCenter.exe、ccSvcHst.exe、egui.exe、esafe.exe、
FileDsty.exe、FTCleanerShell.exe、HijackThis.exe、IceSword.exe、
idag.exe、Iparmor.exe、isPwdSvc.exe、kabaload.exe、kaccore.exe、
KaScrScn.SCR、KASMain.exe、KASTask.exe、KAV32.exe、KAVDX.exe、
KAVPF.exe、KAVPFW.exe、KAVSetup.exe、KAVStart.exe、kavsvc.exe、
KAVsvcUI.exe、KISLnchr.exe、kissvc.exe、KMailMon.exe、
KMFilter.exe、KPFW32.exe、kpfwsvc.exe、、KPPMain.exe、KRegEx.exe、
KRepair.com、KsLoader.exe、KVCenter.kxp、KvDetect.exe、KVFW.EXE、
KvfwMcl.exe、KVMonXP_1.kxp、kvol.exe、kvolself.exe、KvReport.kxp、
KVScan.kxp、KVsrvXP.exe、KVStub.kxp、kvupload.exe、KVwsc.exe、
kwatch.exe、KWatch9x.exe、KWatchX.exe、MagicSet.exe、mcconsol.exe、
mmqczj.exe、mmsk.exe、navapsvc.exe、Navapw32.exe、nod32krn.exe、
NPFMntor.exe、PFW.exe、PFWLiveUpdate.exe、procexp.exe、QHSET.exe、
qqdoctor.exe、qqkav.exe、qqsc.exe、Ras.exe、rav.exe、rav.exe、
RAVmon.exe、RAVmonD.exe、ravstub.exe、ravtask.exe、ravtimer.exe、
ravtool.exe、RegClean.exe、regtool.exe、rfwmain.exe、
FYFireWall.exe、rfwproxy.exe、FYFireWall.exe、rfwsrv.exe、
rfwstub.exe、rising.exe、Rsaupd.exe、runiep.exe、safebank.exe、
safeboxtray.exe、safelive.exe、scan32.exe、shcfg32.exe、
SmartUp.exe、SREng.EXE、symlcsvc.exe、SysSafe.exe、
TrojanDetector.exe、Trojanwall.exe、、TrojDie.kxp、
UIHost.exe、UIHost.exe、UmxAgent.exe、UmxAttachment.exe、
UmxCfg.exe、UmxFwHlp.exe、UmxPol.exe、UpLive.exe、vsstat.exe、
webscanx.exe、WinDbg.exe、WoptiClean.exe、OllyDBG.EXE、
OllyICE.EXE
4、遍歷進程查找是否存在一下進程名:GuardField.exe、conime.exe、wuauclt.exe、
spoolsv.exe;如發現存在以上進程名則調用TerminateProcess函式強行結束以
上進程。
5、調用LoadLibraryA函式載入SFC.DLL檔案。將%System32%\drivers\目錄下的
beep.sys檔案刪除,並創建一個同名的檔案作為病毒服務,創建dat檔案到
C:\DOCUME~1\a\LOCALS~1\Temp臨時目錄下,創建註冊表病毒服務,等待載入完
畢後將dat檔案刪除。
6、利用ZwQuerySystemInformation()枚舉核心模組,遍歷進程查找:DrvAnti.exe
驅動防火牆)、csrss.exe(系統進程),如找到則強行結以上2個進程。
網路行為:
協定:TCP
連線埠:80
連線伺服器名:http://ccc.awer****.cn/txt.txt
IP位址:121.10.113.***
描述:連線伺服器讀取TXT列表內容下載病毒,讀取的列表內容:
http://cao.gm****.com/cao/aa1.exe
http://cao.gm****.com/cao/aa2.exe
http://cao.gm****.com/cao/aa3.exe
http://cao.gm****.com/cao/aa4.exe
http://cao.gm****.com/cao/aa5.exe
http://cao.gm****.com/cao/aa6.exe
http://cao1.gm****.com/cao/aa7.exe
http://cao1.gm****.com/cao/aa8.exe
http://cao1.gm****.com/cao/aa9.exe
http://cao1.gm****.com/cao/aa10.exe
http://cao1.gm****.com/cao/aa11.exe
http://cao1.gm****.com/cao/aa12.exe
http://cao2.gm****.com/cao/aa13.exe
http://cao2.gm****.com/cao/aa14.exe
http://cao2.gm****.com/cao/aa15.exe
http://cao2.gm****.com/cao/aa16.exe
http://cao2.gm****.com/cao/aa17.exe
http://cao2.gm****.com/cao/aa18.exe
http://cao3.gm****.com/cao/aa19.exe
http://cao3.gm****.com/cao/aa20.exe
http://cao3.gm****.com/cao/aa21.exe
http://cao3.gm****.com/cao/aa22.exe
http://cao3.gm****.com/cao/aa23.exe
http://cao3.gm****.com/cao/aa24.exe
註: %System32% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System資料夾的
位置。
%Windir%     WINDODWS所在目錄
%DriveLetter%    邏輯驅動器根目錄
%ProgramFiles%      系統程式默認安裝目錄
%HomeDrive%   當前啟動的系統的所在分區
%Documents and Settings%  當前用戶文檔根目錄
%Temp%  \Documents and Settings
\當前用戶\Local Settings\Temp
%System32%  系統的 System32資料夾
Windows2000/NT中默認的安裝路徑是C:\Winnt\System32
windows95/98/me中默認的安裝路徑是C:\Windows\System
windowsXP中默認的安裝路徑是C:\Windows\System32

相關詞條

熱門詞條

聯絡我們