网络分析专家论坛 netexpert's Archiver

kingzoo 发表于 2006-12-1 14:25

Trojan-Spy.Win32.VB.my分析

[b]病毒标签： [/b]
病毒名称： Trojan-Spy.Win32.VB.my
中文名称： 落雪变种
病毒类型： 木马
文件 MD5： D039BF4DE2BFA3799ACCF60530198C65
公开范围： 完全公开
危害等级： 4
文件长度： 48,836 字节
感染系统： windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： NSPack 3.x
命名对照： 毒霸 [Win32.Hack.VB.my.48836 ]
　　　　　 BitDefender [Trojan.Spy.Vb.MY]  

[b]病毒描述： [/b]
　　 该病毒属木马类，病毒运行后衍生病毒文件，连接网络，下载病毒文件，修改注册表，添加启动项，以达到随机启动的目的，修改可执行文件的关联文件，使可执行文件无法正常运行。

[b]行为分析： [/b]
1、病毒运行后衍生病毒文件，连接网络，下载病毒文件：

%windir%1.com
%windir%\exeroute.exe
%windir%\explorer.com
%windir%\finder.com
%windir%\winlogon.exe
%system32%\command.pif
%system32%\dxdiag.com
%system32%\finder.com
%system32%\msconfig.com
%system32%\regedit.com
%system32%\rundll32.com
%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com

2、修改注册表，添加启动项，以达到随机启动的目的：

新建注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\
键值: 字串: "Torjan Program "="C:\WINDOWS\WINLOGON.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\
键值: 字串: "Check_Associations "="No"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles\DefaultIcon\
键值: 字串: "@"="%1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles\Shell
\Open\Command\
键值: 字串: "@"="C:\WINDOWS\ExERoute.exe "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
\iexplore.pif\
键值: 字串: "LocalizedString "="iexplore"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
\iexplore.pif\ shell\open\command\
键值: 字串: "@"=""C:\Program Files\common~1\iexplore.pif""
修改的注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT
\CurrentVersion\ Winlogon\
新建键值: 字串: "Shell "="Explorer.exe 1"
原键值: 字串: "Shell "="Explorer.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\
新建键值: 字串: "@"="iexplore.pif"
原键值: 字串: "@"="IEXPLORE.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut
\shell\open\ command\
新建键值: 字串: "@"="finder.com shdocvw.dll,OpenURL %l"
原键值: 字串: "@"="rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell
\install\command\
新建键值: 字串: "@"="finder.com desk.cpl,InstallScreenSaver %l"
原键值: 字串: "@"="rundll32.exe desk.cpl,InstallScreenSaver %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile
\Shell\Generate Typelib\ command\
新建键值: 字串: "@"=""C:\WINDOWS\system32
\finder.com" C:\WINDOWS\ system32\scrobj.dll,GenerateTypeLib "%1""
原键值: 字串: "@"=""C:\WINDOWS\system32\RUNDLL32.EXE"
C:\WINDOWS\ system32\scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open
\command\
新建键值: 字串: "@"="finder.com url.dll,TelnetProtocolHandler %l"
原键值: 字串: "@"="rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew\
新建键值: 字串: "Command"="%SystemRoot%\system32\rundll32.com %SystemRoot%\system32\syncui.dll,Briefcase_Create % 2!d! %1"
原键值: 字串: "Command"="%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\
新建键值: 字串: "@"="winfiles"
原键值: 字串: "@"="exefile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew\
新建键值: 字串: "Command "="rundll32.com appwiz.cpl,NewLinkHere %1"
原键值: 字串: "Command "="rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe
\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com" %1"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com""
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command\
新建键值: 字串: "@"="rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原键值: 字串: "@"="rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command\
新建键值: 字串: "@"="%SystemRoot%\explorer.com"
原键值: 字串: "@"="%SystemRoot%\Explorer.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command\
新建键值: 字串: "@"="%SystemRoot%\system32\rundll32.com NETSHELL.DLL,InvokeDunFile %1"
原键值: 字串: "@"="%SystemRoot%\system32\RUNDLL32.EXE NETSHELL.DLL, InvokeDunFile %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com" %1"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com" -nohome"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\command\
新建键值: 字串: "@"=""C:\Program Files\common~1\iexplore.pif" %1"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command\
新建键值: 字串: "@"="rundll32.com %SystemRoot%\system32\ mshtml.dll,PrintHTML "%1""
原键值: 字串: "@"="rundll32.exe %SystemRoot%\system32\mshtml.dll,PrintHTML "%1"".
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\common~1\iexplore.pif" -nohome"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\
新建键值: 字串: "@"="%SystemRoot%\System32\rundll32.com setupapi,InstallHinfSection
DefaultInstall 132 %1"
原键值: 字串: "@"="%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"

3、修改可执行文件的关联文件，使可执行文件无法正常运行。

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32


=========================================================
[b]手工清除方案：[/b]

手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用“进程管理”关闭病毒进程
(2) 删除病毒文件

%windir%1.com
%windir%\exeroute.exe
%windir%\explorer.com
%windir%\finder.com
%windir%\winlogon.exe
%system32%\command.pif
%system32%\dxdiag.com
%system32%\finder.com
%system32%\msconfig.com
%system32%\regedit.com
%system32%\rundll32.com
%Program Files%\Common Files\iexplore.pif
%Program Files%\Internet Explorer\iexplore.com

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

新建注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run\
键值: 字串: "Torjan Program "="C:\WINDOWS\WINLOGON.EXE"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\
键值: 字串: "Check_Associations "="No"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles
\DefaultIcon\
键值: 字串: "@"="%1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winfiles
\Shell\Open\Command\
键值: 字串: "@"="C:\WINDOWS\ExERoute.exe "%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
\iexplore.pif\
键值: 字串: "LocalizedString "="iexplore"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
\iexplore.pif\
shell\open\command\
键值: 字串: "@"=""C:\Program Files\common~1\iexplore.pif""
修改的注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT
\CurrentVersion\ Winlogon\
新建键值: 字串: "Shell "="Explorer.exe 1"
原键值: 字串: "Shell "="Explorer.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\
新建键值: 字串: "@"="iexplore.pif"
原键值: 字串: "@"="IEXPLORE.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\InternetShortcut
\shell\open\ command\
新建键值: 字串: "@"="finder.com shdocvw.dll,OpenURL %l"
原键值: 字串: "@"="rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell
\install\command\
新建键值: 字串: "@"="finder.com desk.cpl,Install
ScreenSaver %l"
原键值: 字串: "@"="rundll32.exe desk.cpl,Install
ScreenSaver %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scriptletfile
\Shell\Generate Typelib\
command\
新建键值: 字串: "@"=""C:\WINDOWS\system32\finder.com"
C:\WINDOWS\ system32\scrobj.dll,GenerateTypeLib "%1""
原键值: 字串: "@"=""C:\WINDOWS\system32\RUNDLL32.EXE"
C:\WINDOWS\ system32\scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\telnet\shell\open
\command\
新建键值: 字串: "@"="finder.com url.dll,TelnetProtoco
lHandler %l"
原键值: 字串: "@"="rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew\
新建键值: 字串: "Command"="%SystemRoot%\system32\rundll32.com %SystemRoot%\system32\syncui.dll,Briefcase_Create % 2!d! %1"
原键值: 字串: "Command"="%SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe\
新建键值: 字串: "@"="winfiles"
原键值: 字串: "@"="exefile"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.lnk\ShellNew\
新建键值: 字串: "Command "="rundll32.com appwiz.cpl,NewLinkHere %1"
原键值: 字串: "Command "="rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications
\iexplore.exe\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com" %1"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com""
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command\
新建键值: 字串: "@"="rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原键值: 字串: "@"="rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command\
新建键值: 字串: "@"="%SystemRoot%\explorer.com"
原键值: 字串: "@"="%SystemRoot%\Explorer.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command\
新建键值: 字串: "@"="%SystemRoot%\system32\rundll32.com NETSHELL.DLL,InvokeDunFile %1"
原键值: 字串: "@"="%SystemRoot%\system32\RUNDLL32.EXE NETSHELL.DLL, InvokeDunFile
%1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com" %1"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.com" -nohome"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\command\
新建键值: 字串: "@"=""C:\Program Files\common~1\iexplore.pif" %1"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" %1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command\
新建键值: 字串: "@"="rundll32.com %SystemRoot%\system32\ mshtml.dll,PrintHTML "%1""
原键值: 字串: "@"="rundll32.exe %SystemRoot%\system32\mshtml.dll,PrintHTML "%1"".
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\HTTP\shell\open\command\
新建键值: 字串: "@"=""C:\Program Files\common~1\iexplore.pif" -nohome"
原键值: 字串: "@"=""C:\Program Files\Internet Explorer\iexplore.exe" -nohome"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\
新建键值: 字串: "@"="%SystemRoot%\System32\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
原键值: 字串: "@"="%SystemRoot%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"

[b]分析小组:[/b]安全咨询中心([url]http://bbs.kingzoo.com/)[/url]

DragonGo 发表于 2006-12-15 16:13

LZ能否谈谈你是如何分析的？思路是什么样的？

kingzoo 发表于 2006-12-20 11:30

[quote]原帖由 [i]DragonGo[/i] 于 2006-12-15 16:13 发表
LZ能否谈谈你是如何分析的？思路是什么样的？ [/quote]
:loveliness: 都没有人怎么看,哎,还是我不转了.
如果分析病毒,在我们的站点病毒救援那里有介绍.我们现在发布有关的教材

页: [1]

Powered by Discuz! Archiver 6.1.0  © 2001-2007 Comsenz Inc.